网络安全
网络安全法、关键信息基础设施保护、网络安全审查、网络产品安全漏洞管理、计算机信息系统安全、网络弹性等
法律
刑法
我国刑法的基本法典。2020年通过的《刑法修正案（十一）》进一步完善了数据和个人信息保护相关罪名：第253条之一（侵犯公民个人信息罪，最高七年有期徒刑）、第285条（非法侵入计算机信息系统罪）、第286条（破坏计算机信息系统罪）、第286条之一（拒不履行信息网络安全管理义务罪）、第287条之二（帮助信息网络犯罪活动罪）。刑法是数据合规领域刑事法律风险的根源，违反数据安全和个人信息保护义务情节严重的可能构成刑事犯罪。
网络安全法
由第十二届全国人大常委会第二十四次会议2016年11月7日通过、主席令第53号公布，2017年6月1日起施行，是我国网络安全领域的基础性法律。确立网络安全等级保护制度，规定网络运营者安全保护义务、个人信息收集使用规则、关基安全保护与数据境内存储要求。2025年10月28日经十四届全国人大常委会第十八次会议修正，主席令第61号公布，自2026年1月1日起施行，新增人工智能治理条款并大幅提高法律责任。
全国人民代表大会常务委员会关于修改《中华人民共和国网络安全法》的决定
由第十四届全国人大常委会第十八次会议2025年10月28日通过、主席令第61号公布，自2026年1月1日起施行，是网络安全法2016年施行以来首次修改。新增网络安全工作坚持党的领导条款，增加支持人工智能基础理论与算法研发、推进训练数据资源和算力基础设施建设的规定；重点强化法律责任，未履行安全保护义务罚款上限提至五十万元，造成特别严重后果最高罚一千万元，并明确从轻、减轻、不予处罚情形。
中华人民共和国国家安全法
建立国家安全领导体制，明确维护国家安全的任务与职责，涵盖政治安全、国土安全、军事安全、网络安全等各领域。确立国家建立国家安全审查和监管的制度和机制，要求建立数据安全审查制度，对影响或可能影响国家安全的数据处理活动进行国家安全审查，是数据合规审查的上位法依据。
中华人民共和国反间谍法（2023年修订）
2023年修订版强化了对网络间谍行为的防范与打击，明确网络攻击、侵入、干扰、控制、破坏等行为可构成间谍行为。对关键信息基础设施运营者、网络运营者提出了配合国家安全机关开展反间谍工作的义务，明确涉及国家秘密和情报的数据保护要求，是数据安全合规的重要法律依据。
密码法
本法规范密码应用与管理，将密码分为核心密码、普通密码与商用密码并实行分类管理，明确核心密码与普通密码用于保护国家秘密信息，商用密码用于保护不属于国家秘密的信息，鼓励商用密码技术创新与产业发展，规范商用密码检测认证、市场准入、应用促进与进出口管理，维护国家安全与社会公共利益，促进密码事业健康发展。
反电信网络诈骗法
本法预防和惩治电信网络诈骗活动，建立政府、部门、企业与社会协同治理机制，要求电信业务、金融业务、互联网服务经营者履行实名制、监测预警、风险防控与协助调查义务，规范电话卡、银行卡、物联网卡与互联网账号管理，建立预警劝阻、紧急止付、快速冻结与跨境协作机制，对诈骗行为及关联违法活动设定行政处罚与刑事责任。
行政法规
政务数据共享条例
由国务院令第809号于2025年5月28日公布、8月1日起施行，是第一部促进政务数据共享流通的行政法规，共八章四十四条。规定政务数据实行统一目录管理，划分共享属性分类，禁止擅自增设条件阻碍、影响共享；明确通过共享可满足履职需要的部门不得重复收集，细化共享申请、答复流程及时限和争议解决机制；要求整合构建全国一体化政务大数据体系，按谁管理谁负责、谁使用谁负责明确安全责任主体。
商用密码管理条例（2023年修订）
由国务院令第760号2023年4月27日公布修订、7月1日起施行，根据密码法对1999年原条例全面修订。坚持创新发展与保障安全、放宽准入与规范监管结合，取消商用密码产品生产审批、销售许可和品种型号审批，实行检测认证制度；对涉及国家安全、国计民生、社会公共利益的商用密码产品及使用网络关键设备的商用密码服务实施强制性检测认证。明确商用密码进出口实行清单管理，大众消费类产品不实行进出口管制。
未成年人网络保护条例
我国首部专门针对未成年人网络保护的行政法规。规定移动智能终端、应用程序、应用程序分发平台应当提供未成年人模式或专区；网络产品和服务提供者应建立未成年人保护制度，健全防沉迷机制；要求个人信息处理者对不满十四周岁未成年人个人信息制定专门规则。明确网络游戏、网络直播、网络社交、网络音视频等服务的未成年人保护义务，是未成年人个人信息保护和网络安全合规的重要法规。
中华人民共和国计算机信息系统安全保护条例
我国第一部关于计算机信息系统安全保护的行政法规，确立了计算机信息系统安全保护制度的基本框架。规定了计算机信息系统实行安全等级保护制度，明确了安全保护工作的主管部门及运营者的安全管理责任，是网络安全等级保护制度的早期法律渊源。2011年修订。
中华人民共和国电信条例（2016年修订）
规范电信市场秩序，保障电信网络和信息安全。明确电信业务经营者的网络安全与信息安全义务，规定电信用户个人信息保护要求，禁止利用电信网络从事危害国家安全、社会公共利益及他人合法权益的活动。
关键信息基础设施安全保护条例
明确关键信息基础设施范围涵盖公共通信、能源、交通、金融、电子政务等重要行业和领域，规定保护工作部门负责认定，运营者承担主体责任，须同步规划、建设、使用安全保护措施，设置专门安全管理机构，每年检测评估，优先采购安全可信产品，采购影响国家安全的须安全审查，个人信息和重要数据境内存储，违法可处警告、罚款、停业整顿、吊销许可等处罚，构成犯罪的追究刑事责任。
政策文件
关于推动互联网基础资源高质量发展的指导意见
工信部、中央网信办、国家发展改革委、国家数据局四部门2026年7月1日联合印发，工信部联信管〔2026〕159号，是我国推动互联网基础资源发展的首个综合性政策文件，部署6方面16项任务，涵盖基础创新能力、设施补短拓新、安全保障、应用服务、监督管理与国际合作。明确到2030年实现体系化突破，到2035年建成安全可控的新型互联网基础设施，并探索智能体互联网络、数字身份服务设施建设。
信息通信行业发展“十五五”规划
工业和信息化部2026年8月12日印发，工信部规〔2026〕188号。规划锚定基本实现新型工业化目标，提出“夯基础、惠民生、优治理、防风险、促开放”5个着力点，部署适度超前建设信息基础设施、培育壮大产业体系、系统优化行业治理、全面增强网络和数据安全保障能力、拓展融合应用、提升全球化发展水平6项任务。到2030年全面建成性能领先的新一代通信网，形成实战实用的网络和数据安全保障能力。
山西省工业互联网高质量发展行动方案
山西省工业和信息化厅联合省通信管理局2026年9月印发。方案围绕“链—镇—群—区”融合产业生态部署基础设施提质、平台能力提升、赋能载体壮大、深化融合应用、产业生态构建五大行动共16项任务，提出到2028年5G工厂建设加快、分类分级平台体系逐步健全，到2030年成为支撑新型工业化的中坚力量；同步实施工业数据筑基行动，推进首席数据官制度，推动工业智能体与行业大模型落地，并落实安全分类分级管理。
数字乡村高质量发展行动计划（2026—2030年）
中央网信办会同农业农村部、工业和信息化部2026年9月11日联合印发，共七部分24项任务。数据治理方面要求完善国家农业农村大数据体系、建设农业农村高质量数据集、建立涉农公共数据资源开发利用机制并打造可信数据空间，鼓励涉农企业开展DCMM贯标；人工智能方面提出完善农业人工智能标准体系、推进大模型在乡村政务服务应用；并专设守牢安全底线条款，规范数据采集存储使用管理，保护个人信息与涉农重要数据安全。
部门规章
公安机关网络空间安全监督检查办法
公安部公布《公安机关网络空间安全监督检查办法》（公安部令第176号），2026年8月6日公布，自2026年10月1日起施行。全文23条，将监管对象由“互联网安全”扩展为“网络空间安全”，监督检查对象包括网络运营者、数据处理者、个人信息处理者及关键信息基础设施运营者，方式含线上巡查与线下核查。对等保三级（含）以上网络运营者、关键信息基础设施运营者每年开展一次现场检查，避免重复交叉检查。
人脸识别技术应用安全管理办法
国家互联网信息办公室、公安部以两部门令第19号公布《人脸识别技术应用安全管理办法》，2025年3月21日发布，2025年6月1日起施行。办法明确处理人脸信息应具有特定目的与充分必要性，须取得个人单独同意，处理不满十四周岁未成年人人脸信息须取得监护人同意；人脸信息原则上存储于设备内、不得联网传输，保存期限不得超过处理目的所必需的最短时间，事前须开展个人信息保护影响评估。
区块链信息服务管理规定
由国家互联网信息办公室令第3号公布、2019年2月15日起施行的部门规章。要求区块链信息服务提供者落实信息内容安全管理主体责任，建立用户注册、信息审核、应急处置和安全防护制度，制定并公开管理规则与平台公约；用户须基于组织机构代码、身份证件号码或移动电话号码完成真实身份信息认证，未认证不得提供服务；提供者应自提供服务之日起十个工作日内备案，变更或终止服务办理变更注销手续，上线新产品须报安全评估。
互联网安全保护技术措施规定
由公安部令第82号于2005年12月13日发布、2006年3月1日起施行。要求互联网服务提供者、联网使用单位落实防范病毒与网络入侵攻击的技术措施，对重要数据库和主要设备冗灾备份，记录并留存用户登录退出时间、主叫号码、账号、互联网地址或域名及维护日志，备份至少保存六十天；接入服务单位须记录留存用户注册信息并具备安全审计功能。未经用户同意不得公开、泄露用户注册信息，不得侵犯用户通信自由和通信秘密。
计算机信息网络国际联网安全保护管理办法
1997年12月11日国务院批准、12月16日公安部令第33号发布、12月30日施行，2011年1月8日国务院决定修订。禁止利用国际联网危害国家安全、泄露国家秘密、传播违法信息，禁止未经允许进入网络或删改网络数据与应用程序、故意制作传播病毒。要求互联单位建立安全保护管理制度、落实技术措施、审核委托发布信息，发现违法情形保留原始记录并在二十四小时内报告公安机关，网络联通三十日内备案。
汽车数据安全管理若干规定（试行）
该规定规范中华人民共和国境内汽车数据处理活动及其安全监管，适用于汽车制造商、零部件和软件供应商、经销商、维修机构、出行服务企业等处理者。文件明确汽车数据、个人信息、敏感个人信息和重要数据的范围，要求处理活动合法正当，落实网络安全等级保护，倡导车内处理、默认不收集、精度范围适用和脱敏处理原则，并规定重要数据风险评估、境内存储、出境安全评估和年度安全管理情况报告制度。
网络安全审查办法
确立关键信息基础设施运营者采购网络产品和服务、网络平台运营者赴国外上市等情形的网络安全审查制度。要求掌握超过100万用户个人信息的网络平台运营者赴国外上市必须申报网络安全审查，重点评估产品和服务投入使用后可能带来的国家安全风险。
网络产品安全漏洞管理规定
规范网络产品安全漏洞的发现、报告、修补和发布行为。要求网络产品提供者建立安全漏洞发现、报告、修补和发布机制，禁止将未修补的安全漏洞向社会发布或提供给境外组织和个人。
标准
GB/T 20274.2-2026 网络安全技术 信息系统安全保障评估框架 第2部分：安全保障要求
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 20274.2-2026《网络安全技术 信息系统安全保障评估框架 第2部分：安全保障要求》，自2026-12-01起实施，代替GB/T 20274.2-2008。该标准规定了信息系统安全保障要求，为信息系统生命周期各阶段的安全规划、设计、实施与测评提供依据，适用于安全保障评估活动。
GB/T 25067-2026 网络安全技术 信息安全管理体系审核和认证机构要求
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 25067-2026《网络安全技术 信息安全管理体系审核和认证机构要求》，自2026-12-01起实施，代替GB/T 25067-2020。该标准规定了信息安全管理体系审核与认证机构在能力、公正性、人员和过程方面的要求，适用于认证机构的认可与监督管理。
GB/T 28450-2026 网络安全技术 信息安全管理体系审核指南
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 28450-2026《网络安全技术 信息安全管理体系审核指南》，自2026-12-01起实施，代替GB/T 28450-2020。该标准提供了信息安全管理体系审核的原则、方案管理、实施流程与审核员能力指南，与GB/T 25067配套使用，指导组织开展内外部审核。
GB/T 28455-2026 网络安全技术 引入可信第三方的实体鉴别及接入架构规范
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 28455-2026《网络安全技术 引入可信第三方的实体鉴别及接入架构规范》，自2026-12-01起实施，代替GB/T 28455-2012。该标准规定了引入可信第三方进行实体鉴别的技术框架、接入架构与协议流程，明确其安全职责，适用于网络身份鉴别与跨域互认场景。
GB/T 32915-2026 网络安全技术 二元序列随机性检测方法
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 32915-2026《网络安全技术 二元序列随机性检测方法》，自2026-12-01起实施，代替GB/T 32915-2016。该标准规定了二元序列随机性的统计检测方法与判定准则，为密码算法与随机数发生器的随机性质量评价提供统一检测手段。
GB/T 33560-2026 网络安全技术 密码应用标识
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 33560-2026《网络安全技术 密码应用标识》，自2026-12-01起实施，代替GB/T 33560-2017。该标准规定了密码应用中算法、密钥、证书、协议等对象的标识编码规则，统一标识体系，适用于密码产品研制、密码应用方案设计与密评实施。
GB/T 36959-2026 网络安全技术 网络安全等级保护测评机构能力要求和评估规范
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 36959-2026《网络安全技术 网络安全等级保护测评机构能力要求和评估规范》，自2026-12-01起实施，代替GB/T 36959-2018。该标准规定了网络安全等级保护测评机构在人员、设备、管理与质量体系方面的能力要求及评估方法，适用于测评机构的遴选与监督管理。
GB/T 37939-2026 网络安全技术 网络存储安全技术要求
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 37939-2026《网络安全技术 网络存储安全技术要求》，自2026-12-01起实施，代替GB/T 37939-2019。该标准规定了网络存储系统在身份鉴别、访问控制、数据加密、完整性保护与安全审计方面的技术要求及测评方法，适用于存储设备的研制、选型与检测，保障存储数据安全。
GB/T 47679.1-2026 网络安全技术 量子密钥分发的安全要求、测试和评估方法 第1部分：要求
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 47679.1-2026《网络安全技术 量子密钥分发的安全要求、测试和评估方法 第1部分：要求》，自2026-12-01起实施。该标准规定了量子密钥分发系统在物理层、协议层、管理层的安全要求，明确密钥生成率、成码距离与抗攻击能力等指标，为产品检测认证提供依据。
GB/T 47679.2-2026 网络安全技术 量子密钥分发的安全要求、测试和评估方法 第2部分：测试和评估方法
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 47679.2-2026《网络安全技术 量子密钥分发的安全要求、测试和评估方法 第2部分：测试和评估方法》，自2026-12-01起实施。该标准规定了量子密钥分发系统的测试方法、测试环境、测试流程与安全评估准则，与第1部分配套，指导第三方检测机构开展安全测试与评估。
GB/T 47686-2026 网络安全技术 政务云安全配置基线要求
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 47686-2026《网络安全技术 政务云安全配置基线要求》，自2026-12-01起实施。该标准规定了政务云平台在计算、存储、网络、应用及管理层面的安全配置基线与核查方法，明确安全加固的最低要求，适用于政务云规划、建设、运维与安全检查，提升整体防护水平。
GB/T 47687-2026 网络安全技术 秘密分享技术机制
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 47687-2026《网络安全技术 秘密分享技术机制》，自2026-12-01起实施。该标准规定了秘密分享的技术机制、门限方案、份额生成与恢复流程及安全性要求，为密钥托管与数据分片保护提供标准化方法，适用于密码应用、数据容灾与多方安全计算。
GB/T 47689-2026 网络安全技术 嵌入式操作系统安全技术规范
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 47689-2026《网络安全技术 嵌入式操作系统安全技术规范》，自2026-12-01起实施。该标准规定了嵌入式操作系统在标识鉴别、访问控制、安全审计、可信启动与漏洞防护方面的技术要求及测评方法，适用于物联网终端与工业控制设备的安全设计与检测。
GB/T 47692-2026 网络安全技术 事件调查原则和过程
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 47692-2026《网络安全技术 事件调查原则和过程》，自2026-12-01起实施。该标准规定了网络安全事件调查的原则、准备、证据收集与保全、分析与报告撰写等全过程要求，规范取证行为，适用于事件复盘并支撑监管与司法调查。
GB/T 47697-2026 网络安全技术 鉴别与授权 基于属性的访问控制模型与管理规范
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 47697-2026《网络安全技术 鉴别与授权 基于属性的访问控制模型与管理规范》，自2026-12-01起实施。该标准规定了基于属性的访问控制模型、策略描述、决策与执行架构及管理规范，支持细粒度动态授权，适用于大数据、云计算等复杂环境下的访问控制系统设计。
GB/T 20985.1-2026 网络安全技术 网络安全事件管理 第1部分：原理和过程
2026年第30号国家标准公告（2026-07-02）批准发布GB/T 20985.1-2026《网络安全技术 网络安全事件管理 第1部分：原理和过程》，自2027-02-01起实施，代替GB/T 20985.1-2017。该标准规定了网络安全事件管理的原理、模型与事件管理过程，明确事件的发现、报告、评估、响应与总结各阶段要求。
GB/T 20985.2-2026 网络安全技术 网络安全事件管理 第2部分：事件响应规划和准备指南
2026年第30号国家标准公告（2026-07-02）批准发布GB/T 20985.2-2026《网络安全技术 网络安全事件管理 第2部分：事件响应规划和准备指南》，自2027-02-01起实施，代替GB/T 20985.2-2020。该标准提供了网络安全事件响应团队组建、预案编制、工具准备与演练的规划指南，与第1部分配套，指导组织预先建立响应能力。
GB/T 37002-2026 网络安全技术 电子邮件系统安全技术规范
2026年第30号国家标准公告（2026-07-02）批准发布GB/T 37002-2026《网络安全技术 电子邮件系统安全技术规范》，自2027-02-01起实施，代替GB/T 37002-2018。该标准规定了电子邮件系统在身份鉴别、传输加密、反垃圾邮件、反钓鱼、内容安全与审计日志方面的技术要求及测评方法。
GB/T 41400-2026 网络安全技术 工业控制系统网络安全防护能力成熟度模型
2026年第30号国家标准公告（2026-07-02）批准发布GB/T 41400-2026《网络安全技术 工业控制系统网络安全防护能力成熟度模型》，自2027-02-01起实施，代替GB/T 41400-2022。该标准规定了工业控制系统网络安全防护能力成熟度模型的等级划分、过程域与评估方法，为工业企业自评估差距、持续提升防护能力提供量化标尺。
GB/T 44886.4-2026 网络安全技术 网络安全产品互联互通 第4部分：威胁信息格式
2026年第30号国家标准公告（2026-07-02）批准发布GB/T 44886.4-2026《网络安全技术 网络安全产品互联互通 第4部分：威胁信息格式》，自2027-02-01起实施，代替GB/T 36643-2018。该标准规定了网络安全产品间威胁信息的统一描述格式、字段定义与编码规则，打通异构安全产品间的威胁情报共享，支撑态势感知平台数据接入。
GB/T 44886.5-2026 网络安全技术 网络安全产品互联互通 第5部分：行为信息格式
国家市场监督管理总局（国家标准化管理委员会）于2026-07-02发布2026年第30号中国国家标准公告批准发布GB/T 44886.5-2026《网络安全技术 网络安全产品互联互通 第5部分：行为信息格式》，自2027-02-01起实施。规定了网络安全产品间行为信息的统一描述格式与交换要求，规范终端与网络行为日志的结构化表达，支撑多源安全数据的关联分析与自动化编排响应。
GB/T 47744-2026 网络安全技术 互联网恶意软件定义与描述格式
国家市场监督管理总局（国家标准化管理委员会）于2026-07-02发布2026年第30号中国国家标准公告批准发布GB/T 47744-2026《网络安全技术 互联网恶意软件定义与描述格式》，自2027-02-01起实施。规定了互联网恶意软件的分类、命名与描述格式，统一恶意代码样本的元数据与行为特征描述，便于检测引擎间情报交换与协同处置，适用于恶意软件分析、通报与防护产品测评。
GB/T 31308.1-2026 行政、商业和行业中的数据元、过程和文档 长效签名 第1部分：CMS高级电子签名（CAdES）规范
国家市场监督管理总局、国家标准化管理委员会2026年1月28日经国家标准公告2026年第4号发布，代替GB/T 31308.1-2014，同年5月1日实施。该标准规定基于CMS高级电子签名的长效签名格式与验证规则，通过引入时间戳与证书状态信息，解决签名证书失效后电子文件证据效力难以长期维持的问题，为电子合同、电子票据、电子证照等数据电文的长期可信存档与合规存证提供技术依据。
GB/T 31308.2-2026 行政、商业和行业中的数据元、过程和文档 长效签名 第2部分：XML高级电子签名（XAdES）规范
国家市场监督管理总局、国家标准化管理委员会2026年1月28日经国家标准公告2026年第4号发布，代替GB/T 31308.2-2014，同年5月1日实施。该标准规定基于XML高级电子签名的长效签名格式与验证规则，通过在签名中嵌入时间戳、证书链与吊销状态证据，使签名在证书过期后仍可验证，支撑政务与商务电子文件的长期归档、审计追溯与司法举证，是数据电文可信存证的基础性标准。
GB/T 47020-2026 网络安全技术 软件物料清单数据格式
国家市场监督管理总局、国家标准化管理委员会2026年1月28日经国家标准公告2026年第4号发布，同年8月1日实施。该标准规定软件物料清单（SBOM）的数据格式与字段要求，统一组件名称、版本、依赖关系、许可证与漏洞信息的描述方式，使软件供应链成分可溯源、可比对。在供应链攻击与开源组件漏洞高发背景下，为关键信息基础设施运营者开展软件供应链安全审查、漏洞快速定位与合规披露提供统一数据接口。
GB/T 20272-2026 网络安全技术 操作系统安全技术规范
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第21号发布，同年11月1日实施，代替GB/T 20008-2005与GB/T 20272-2019。该标准规定操作系统在身份鉴别、访问控制、安全审计、数据完整性与剩余信息保护方面的安全功能要求及分级指标，覆盖桌面、服务器与嵌入式场景，是网络安全等级保护测评与操作系统产品安全认证的核心依据标准。
GB/T 22186-2026 网络安全技术 具有中央处理器的IC卡芯片安全规范
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第21号发布，同年11月1日实施，代替GB/T 22186-2016。该标准规定带中央处理器的IC卡芯片在物理防护、密码算法、密钥管理、防侧信道攻击与生命周期管理方面的安全要求，明确芯片对持卡人身份数据与交易记录的机密性、完整性保护指标，广泛应用于金融卡、社保卡与身份证件等个人信息载体。
GB/T 24294.1-2026 网络安全技术 基于互联网电子政务信息安全实施指南 第1部分：总则
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第21号发布，同年11月1日实施，代替GB/Z 24294.1-2018。该标准给出基于互联网开展电子政务时的安全总体框架与实施原则，覆盖网络边界隔离、身份认证、数据传输加密、政务数据分类保护与安全监测要求，指导政务部门在政务服务上网与数据共享开放中统筹安全与发展。
GB/T 31499-2026 网络安全技术 统一威胁管理产品（UTM）技术规范
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第21号发布，同年11月1日实施，代替GB/T 31499-2015。该标准规定统一威胁管理产品在防火墙、入侵防御、防病毒、内容过滤与日志审计等方面的功能与性能要求，明确其对检测到的攻击特征与流量日志的存储与脱敏要求，是网络安全专用产品安全认证与政府采购选型的技术依据。
GB/T 35275-2026 网络安全技术 SM2密码算法加密签名消息格式
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第21号发布，同年11月1日实施，代替GB/T 35275-2017。该标准规定使用SM2公钥密码算法进行加密与签名时的数据编码与消息格式，统一密文封装、签名值与证书引用方式，解决不同厂商实现互不兼容问题，支撑商用密码在电子合同、电子印章与数据加密传输中的合规应用。
GB/T 39404-2026 工业机器人控制单元的信息安全通用要求
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第21号发布，同年11月1日实施，代替GB/T 39404-2020。该标准规定工业机器人控制单元在身份鉴别、访问控制、固件安全、通信加密与安全审计方面的通用要求，防范控制指令篡改与恶意程序植入导致的生产安全事故，是智能制造与工业互联网终端侧安全防护的重要标准。
GB/T 47470-2026 网络安全技术 软件安全开发能力评估准则
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第21号发布，同年11月1日实施。该标准建立软件安全开发能力分级模型，从安全需求分析、安全设计、编码安全、安全测试到交付运维提出过程要求与评估方法，帮助开发方将安全左移、减少上线后漏洞，为软件供应链安全评价与开发方能力自评提供统一的度量依据。
GB/T 47471-2026 网络安全技术 SM9密码算法加密签名消息格式
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第21号发布，同年11月1日实施。该标准规定基于标识的SM9密码算法在加密与签名场景下的数据编码与消息格式，统一密文结构、签名封装与标识引用方式。SM9无需数字证书即可实现身份鉴别，适用于物联网终端与海量用户场景，为标准落地商用密码应用安全性评估提供依据。
GB/T 47475-2026 网络安全技术 开放的第三方资源授权协议
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第21号发布，同年11月1日实施。该标准规定开放平台向第三方应用授权访问用户资源时的协议流程、令牌管理与最小授权范围要求，明确用户授权同意、授权撤销与访问日志留存机制，防范越权获取与过度共享用户数据，是互联网平台开放接口场景落实个人信息保护要求的技术规范。
GB/T 47496-2026 网络安全技术 计算机基本输入输出系统（BIOS）安全技术规范
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第21号发布，同年11月1日实施。该标准规定计算机BIOS在固件完整性校验、安全启动、可信根建立、固件更新签名与物理防护方面的技术要求，防范固件级恶意代码植入与启动链劫持。BIOS位于信任链最底层，其安全直接决定上层操作系统与数据保护措施的有效性。
GB/T 35278-2026 网络安全技术 移动终端安全技术规范
国家市场监督管理总局、国家标准化管理委员会2026年7月30日经国家标准公告2026年第33号发布，2027年2月1日实施，代替GB/T 35278-2017。该标准规定移动终端在操作系统安全、应用管控、数据加密存储、外设接口与远程擦除方面的技术要求，强化对个人信息的本地保护与应用越权访问防范，是移动智能终端进网检测与企业移动办公安全选型的重要依据。
GB/T 46902-2025 网络安全技术 网络空间安全图谱要素表示要求
国家市场监督管理总局、国家标准化管理委员会2025年12月31日经国家标准公告2025年第38号发布，2026年7月1日实施。该标准规定网络空间安全知识图谱中资产、漏洞、威胁、攻击组织与事件等要素的统一表示方法与关联关系模型，明确要素标识、属性描述与扩展规则，为威胁情报共享、攻击溯源和自动化安全分析提供规范化数据底座。
GB/T 44886.2-2025 网络安全技术 网络安全产品互联互通 第2部分：资产信息格式
国家市场监督管理总局、国家标准化管理委员会2025年12月2日经国家标准公告2025年第33号发布，2026年7月1日实施。该标准规定不同厂商网络安全产品之间交换资产信息的统一数据格式与字段定义，涵盖资产类型、归属、脆弱性与暴露面等要素，解决异构安全设备资产台账割裂问题，支撑安全运营平台统一纳管与资产风险全景呈现。
GB/T 44886.3-2025 网络安全技术 网络安全产品互联互通 第3部分：告警信息格式
国家市场监督管理总局、国家标准化管理委员会2025年12月2日经国家标准公告2025年第33号发布，2026年7月1日实施。该标准规定网络安全产品告警信息的统一格式、严重级别划分与归一化字段要求，涵盖告警来源、分类编码、关联标识与处置状态，使多源告警可聚合、可关联、可研判，显著提升安全事件发现与应急响应效率。
GB/T 46795-2025 网络安全技术 公钥密码应用技术体系框架
国家市场监督管理总局、国家标准化管理委员会2025年12月2日经国家标准公告2025年第33号发布，2026年7月1日实施。该标准构建公钥密码在身份鉴别、数据加密、数字签名等场景中的应用技术体系框架，明确密码算法、密钥管理、密码产品与业务信息系统之间的层次关系与接口要求，为商用密码应用安全性评估与密评整改提供技术参照。
GB/T 46820-2025 网络安全技术 网络安全试验平台 体系架构
国家市场监督管理总局、国家标准化管理委员会2025年12月2日经国家标准公告2025年第33号发布，2026年7月1日实施。该标准规定网络安全试验平台的总体架构、核心功能模块与外部接口要求，支持攻防演练、产品测评、漏洞验证与新技术验证等场景下的资源编排、环境隔离和过程复现，为网络安全能力验证平台建设提供统一规范。
GB/T 45909-2025 网络安全技术 数字水印技术实现指南
国家市场监督管理总局、国家标准化管理委员会2025年6月30日经国家标准公告2025年第14号发布，2026年1月1日实施。该标准给出数字水印在图像、音视频、文本等载体上的嵌入、提取与鲁棒性评估方法，明确不可感知性、抗攻击能力与容量等指标，可服务于人工智能生成合成内容标识、数据泄露溯源取证与数字版权保护等合规场景。
GB/T 22080-2025 网络安全技术 信息安全管理体系 要求
国家市场监督管理总局、国家标准化管理委员会2025年6月30日经国家标准公告2025年第14号发布，代替GB/T 22080-2016，2026年1月1日实施。该标准等同采用ISO/IEC 27001，规定建立、实施、保持和持续改进信息安全管理体系的要求，涵盖风险评估处置、适用性声明、管理评审与内部审核，是企业信息安全合规的基础认证依据。
GB/T 31722-2025 网络安全技术 信息安全风险管理指导
国家市场监督管理总局、国家标准化管理委员会2025年8月1日经国家标准公告2025年第19号发布，代替GB/T 31722-2015，2026年2月1日实施。该标准等同采用ISO/IEC 27005，规定信息安全风险识别、分析、评价、处置与沟通监视的全过程方法，为组织建立与业务目标相适配的风险管理流程提供指导。
GB/T 37027-2025 网络安全技术 网络攻击和网络攻击事件判定准则
国家市场监督管理总局、国家标准化管理委员会2025年2月28日经国家标准公告2025年第4号发布，代替GB/T 37027-2018，2025年9月1日实施。该标准规定网络攻击的分类、判定要素与事件分级方法，明确攻击源追溯、危害程度评估与事件定级规则，为网络安全事件报告、应急响应与执法认定提供统一尺度。
GB/T 45409-2025 网络安全技术 运维安全管理产品技术规范
国家市场监督管理总局、国家标准化管理委员会2025年3月28日经国家标准公告2025年第6号发布，2025年10月1日实施。该标准规定运维安全管理产品的功能与性能要求，涵盖统一身份认证、细粒度权限控制、操作审计、会话录制与异常行为实时告警，防范内部人员越权访问和运维通道失管引发的数据泄露与篡改风险。
GB/T 15843.4-2024 信息技术 安全技术 实体鉴别 第4部分：采用密码校验函数的机制
国家市场监督管理总局、国家标准化管理委员会2024年3月15日经国家标准公告2024年第1号发布，2024年10月1日实施。该标准等同采用ISO/IEC 9798-4，规定采用密码校验函数实现实体身份鉴别的机制与消息交换流程，明确密钥派生、校验值计算与防重放要求，适用于信息系统访问控制、设备接入认证等场景，为身份鉴别环节的密码应用合规性提供技术依据。
GB/T 18336.1-2024 网络安全技术 信息技术安全评估准则 第1部分：简介和一般模型
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准等同采用ISO/IEC 15408-1，规定信息技术产品安全评估的一般模型与概念框架，明确保护轮廓、安全目标与评估保障级的构成关系，是CC评估体系的基础性标准，为网络安全产品认证与安全能力等级划分提供方法论依据。
GB/T 18336.2-2024 网络安全技术 信息技术安全评估准则 第2部分：安全功能组件
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准等同采用ISO/IEC 15408-2，规定信息技术产品安全功能要求的标准化组件库，涵盖身份鉴别、访问控制、审计、密码支持与数据保护等族类，供保护轮廓与安全目标编制时选取组合，是安全功能需求工程化表达的核心依据。
GB/T 18336.3-2024 网络安全技术 信息技术安全评估准则 第3部分：安全保障组件
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准等同采用ISO/IEC 15408-3，规定安全保障要求的标准化组件与评估保障级划分，覆盖开发、指导性文档、生命周期支持、测试与脆弱性评定等保障族，为评估机构判定产品安全保障强度提供分级依据。
GB/T 18336.4-2024 网络安全技术 信息技术安全评估准则 第4部分：评估方法和活动的规范框架
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准等同采用ISO/IEC 15408-4，规定信息技术安全评估的方法与活动规范框架，明确评估输入、评估证据、评估结论与评估监督的要求，统一评估实施流程与交付物形式，提升安全评估结论的一致性与可比性。
GB/T 18336.5-2024 网络安全技术 信息技术安全评估准则 第5部分：预定义的安全要求包
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准等同采用ISO/IEC 15408-5，给出若干预定义的安全要求包，将常用安全功能组件与保障组件按典型应用场景组合封装，供保护轮廓与安全目标编制直接引用，降低安全需求编制门槛并减少重复论证成本。
GB/T 30270-2024 网络安全技术 信息技术安全评估方法
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准规定信息技术产品与系统安全评估的实施方法，涵盖评估准备、证据收集、脆弱性分析、渗透测试与结果判定各环节，明确评估人员能力与环境要求，为第三方安全评估、等保测评与产品认证提供可操作的流程规范。
GB/T 33563-2024 网络安全技术 无线局域网客户端安全技术要求
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准规定无线局域网客户端在身份鉴别、密钥管理、数据传输保护与接入控制方面的安全技术要求，明确可信接入、防钓鱼热点与配置安全基线，适用于移动终端、物联网设备等无线接入场景的安全设计与检测。
GB/T 33565-2024 网络安全技术 无线局域网接入系统安全技术要求
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准规定无线局域网接入系统的安全功能与保障要求，覆盖接入认证、授权管理、加密传输、日志审计与安全运维，明确非法接入检测与终端隔离机制，为企业无线网络建设与安全测评提供统一技术依据。
GB/T 43694-2024 网络安全技术 证书应用综合服务接口规范
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准规定数字证书应用综合服务的接口规范，统一证书申请、签发、更新、吊销、状态查询与验签调用方式，明确接口安全与异常处理要求，解决异构密码服务对接难题，支撑电子签名与可信身份认证体系建设。
GB/T 43696-2024 网络安全技术 零信任参考体系架构
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准给出零信任安全参考体系架构，明确主体、资源、策略引擎、策略管理器与策略执行点等核心组件及其交互关系，规定持续信任评估与动态访问控制机制，是国内零信任领域的基础性标准，指导企业从边界防护转向身份与数据为中心的防护。
GB/T 43698-2024 网络安全技术 软件供应链安全要求
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准规定软件供应链各环节的安全要求，覆盖需求、开发、构建、交付、运维与停用全生命周期，明确第三方组件管理、开源代码治理、构建环境防护与软件物料清单要求，是应对软件供应链投毒与开源漏洞风险的重要合规依据。
GB/T 43741-2024 网络安全技术 网络安全众测服务要求
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准规定网络安全众测服务的组织与实施要求，明确平台、测试人员、被测方三方责任边界，规范授权范围、漏洞提交、复现验证、信息披露与奖励结算流程，防范众测过程中的越权测试与数据泄露风险，促进漏洞众测活动合规有序开展。
GB/T 43779-2024 网络安全技术 基于密码令牌的主叫用户可信身份鉴别技术规范
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准规定基于密码令牌实现通信主叫用户可信身份鉴别的技术机制，明确令牌签发、传递、校验与结果呈现流程，可在不泄露用户号码等个人信息的前提下完成身份确认，为治理骚扰电话、电信网络诈骗与号码仿冒提供技术支撑。
GB/T 43848-2024 网络安全技术 软件产品开源代码安全评价方法
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准规定软件产品所使用开源代码的安全评价方法，涵盖成分识别、许可证合规分析、已知漏洞匹配与风险等级评定，明确评价流程与结果表达方式，为企业开展开源治理、履行软件供应链安全义务提供可量化的评价工具。
GB/T 15843.2-2024 网络安全技术 实体鉴别 第2部分：采用鉴别式加密的机制
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2025年4月1日实施。该标准等同采用ISO/IEC 9798-2，规定采用对称加密实现实体身份鉴别的机制与消息格式，明确一次性随机数、时间戳与密钥层级的使用要求，适用于信息系统双向认证与设备接入鉴别，为密码应用安全性评估提供技术参照。
GB/T 15852.2-2024 网络安全技术 消息鉴别码 第2部分：采用专门设计的杂凑函数的机制
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2025年4月1日实施。该标准规定基于专门设计杂凑函数构造消息鉴别码的机制，明确算法参数、计算流程与截断输出规则，用于保障数据在传输与存储过程中的完整性与来源真实性，是商用密码应用与数据防篡改设计的基础标准之一。
GB/T 18238.1-2024 网络安全技术 杂凑函数 第1部分：总则
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2025年4月1日实施。该标准规定杂凑函数的总体要求、术语定义与符号约定，明确抗原像、抗第二原像与抗碰撞等安全性质以及参数选取原则，为后续各部分具体算法提供统一框架，支撑数字签名、消息鉴别码与口令保护等密码机制的正确实现与合规选型。
GB/T 18238.2-2024 网络安全技术 杂凑函数 第2部分：采用分组密码的杂凑函数
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2025年4月1日实施。该标准规定利用分组密码构造杂凑函数的具体方法与参数，明确压缩函数设计、迭代结构与输出长度要求，为在既有分组密码算法基础上实现数据完整性校验提供标准化方案，便于密码产品合规选型与互操作。
GB/T 18238.3-2024 网络安全技术 杂凑函数 第3部分：专门设计的杂凑函数
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2025年4月1日实施。该标准规定专门设计杂凑函数的算法结构与具体运算步骤，明确初始化向量、消息填充规则、轮函数设计与输出变换要求，给出实现一致性测试要点，为国产杂凑算法的工程实现、产品检测与密码应用安全性评估提供规范依据。
GB/T 20279-2024 网络安全技术 网络和终端隔离产品技术规范
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2025年4月1日实施。该标准规定网络与终端隔离产品的安全功能与性能要求，明确数据摆渡、协议剥离、内容审计与单向导入等机制的技术指标，适用于涉密网与互联网之间的安全隔离与数据交换场景，是分级防护体系的关键产品标准。
GB/T 22081-2024 网络安全技术 信息安全控制
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2025年4月1日实施。该标准等同采用ISO/IEC 27002，给出组织建立信息安全管理体系可选取的控制措施集合，涵盖组织、人员、物理、技术四大类控制及其实施指南，是GB/T 22080认证落地与信息安全风险处置的核心参考文件。
GB/T 29244-2024 网络安全技术 办公设备安全规范
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2025年4月1日实施。该标准规定打印机、复印机、扫描仪等办公设备的安全要求，明确访问控制、存储数据清除、传输加密与固件安全更新机制，防范办公设备因残留数据、弱口令与未修补漏洞成为内网渗透入口，适用于党政机关与企事业单位办公设备采购与安全管理。
GB/T 44462.1-2024 工业互联网企业网络安全 第1部分：应用工业互联网的工业企业防护要求
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2025年1月1日实施。该标准规定应用工业互联网的工业企业在网络、设备、控制、应用与数据方面的安全防护要求，明确边界隔离、身份认证、安全监测与应急处置措施，是工业企业落实工业互联网安全分类分级管理的配套技术标准。
GB/T 44462.2-2024 工业互联网企业网络安全 第2部分：平台企业防护要求
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2025年1月1日实施。该标准规定工业互联网平台企业的安全防护要求，覆盖基础设施、平台服务、应用生态与租户隔离，明确上云工业数据的访问权限控制、安全审计与供应链风险管理要求，为平台运营者履行安全保护义务提供依据。
GB/T 44602-2024 网络安全技术 智能门锁网络安全技术规范
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2025年4月1日实施。该标准规定智能门锁在身份鉴别、通信安全、固件保护与生物特征信息存储方面的网络安全要求，明确禁止明文存储指纹人脸数据、要求本地加密与安全启动机制，防范开锁凭证被重放或破解，是智能家居终端安全的重要规范。
GB/T 44810.1-2024 IPv6网络安全设备技术要求 第1部分：防火墙
国家市场监督管理总局、国家标准化管理委员会2024年10月26日经国家标准公告2024年第24号发布，2025年2月1日实施。该标准规定支持IPv6的防火墙设备在包过滤、状态检测、应用识别与攻击防护方面的技术要求，明确IPv6扩展头处理与过渡场景适配能力，为IPv6规模部署环境下的边界防护设备选型与检测提供依据。
GB/T 44810.2-2024 IPv6网络安全设备技术要求 第2部分：Web应用防护系统（WAF）
国家市场监督管理总局、国家标准化管理委员会2024年10月26日经国家标准公告2024年第24号发布，2025年2月1日实施。该标准规定支持IPv6的Web应用防护系统在HTTP攻击检测、规则匹配、会话保护与日志审计方面的技术要求，明确IPv6环境下的部署模式与性能指标，为网站和应用系统抵御注入、跨站等攻击提供设备级规范。
GB/T 44810.3-2024 IPv6网络安全设备技术要求 第3部分：入侵防御系统（IPS）
国家市场监督管理总局、国家标准化管理委员会2024年10月26日经国家标准公告2024年第24号发布，2025年2月1日实施。该标准规定支持IPv6的入侵防御系统在流量还原、特征检测、异常行为分析与联动阻断方面的技术要求，明确漏报率、误报率与处理性能指标，支撑IPv6网络中入侵行为的及时发现与自动化处置。
GB/T 46999-2025 道路交通管控设施数字身份及认证通用规范
国家市场监督管理总局、国家标准化管理委员会2025年12月31日经国家标准公告2025年第38号发布，2026年7月1日实施。该标准规定道路交通管控设施数字身份的编码规则、身份认证流程与密钥管理要求，为信号灯、电子警察、路侧单元等设施建立可信身份标识，防范设备仿冒与指令篡改，是车路协同与智慧交通数据安全的基础规范。
GB/Z 174.3-2026 工业过程测量控制和自动化 智能制造 第3部分：网络安全面临的挑战
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第19号发布并同步实施。该文件识别智能制造场景下工业控制系统面临的网络安全挑战，分析IT与OT融合、远程运维、供应链接入带来的攻击面扩展，梳理纵深防护、资产可见性与安全监测等应对方向，为制造企业规划安全建设提供参考。
GB/T 47124-2026 可信移动电子文件框架 安全可靠的移动电子业务要求、功能和准则
国家市场监督管理总局、国家标准化管理委员会2026年1月28日经国家标准公告2026年第4号发布，2026年8月1日实施。该标准规定可信移动电子文件框架下移动电子业务的安全要求、功能与准则，明确文件生成、签署、传输、存储与验证的可信保障机制，强化移动终端环境下的身份认证与防篡改能力，支撑移动办公与电子签署的合规应用。
GB/T 42453-2023 信息安全技术 网络安全态势感知通用技术要求
国家市场监督管理总局、国家标准化管理委员会2023年3月17日经国家标准公告2023年第1号发布，2023年10月1日实施。该标准规定网络安全态势感知系统的通用技术要求，覆盖数据采集、态势理解、态势评估与态势预测等能力域，明确系统架构、数据接口、性能指标与安全自管要求，是各单位建设态势感知平台并开展监测预警的核心依据。
GB/T 20274.1-2023 信息安全技术 信息系统安全保障评估框架 第1部分：简介和一般模型
国家市场监督管理总局、国家标准化管理委员会2023年3月17日经国家标准公告2023年第1号发布，2023年10月1日实施。该标准规定信息系统安全保障评估的一般模型与概念框架，明确保障目标、保障要素与保障证据之间的对应关系，给出评估等级划分思路与实施路径，为信息系统安全评估体系建设与评估结果互认提供顶层方法论。
GB/T 42446-2023 信息安全技术 网络安全从业人员能力基本要求
国家市场监督管理总局、国家标准化管理委员会2023年3月17日经国家标准公告2023年第1号发布，2023年10月1日实施。该标准规定网络安全从业人员的能力分类与基本要求，按安全管理、安全运营、安全技术与安全测评等方向划分知识、技能与经验维度，明确能力等级划分与评价要点，为用人单位招聘、考核与职业培训提供统一基准。
GB/T 33134-2023 信息安全技术 公共域名服务系统安全要求
国家市场监督管理总局、国家标准化管理委员会2023年3月17日经国家标准公告2023年第1号发布，2023年10月1日实施。该标准规定公共域名服务系统的安全技术要求，覆盖域名解析、区域传输、缓存投毒防护、运行监测与应急处置等环节，明确抗拒绝服务攻击能力与日志留存要求，为保障域名系统这一关键信息基础设施安全提供技术依据。
GB/T 21053-2023 信息安全技术 公钥基础设施 PKI系统安全技术要求
国家市场监督管理总局、国家标准化管理委员会2023年3月17日经国家标准公告2023年第1号发布，2023年10月1日实施。该标准规定公钥基础设施PKI系统的安全技术要求，覆盖证书机构、注册机构、密钥管理与证书全生命周期管理，明确物理安全、网络安全、系统安全与人员安全管理要求，为电子认证服务的合规运营与安全审查提供基准。
GB/T 21054-2023 信息安全技术 公钥基础设施 PKI系统安全测评方法
国家市场监督管理总局、国家标准化管理委员会2023年3月17日经国家标准公告2023年第1号发布，2023年10月1日实施。该标准与PKI系统安全技术要求配套，规定PKI系统安全测评的方法、流程与判定准则，明确测试环境、测试用例与结果评价要求，为第三方测评机构开展PKI系统安全评估提供可操作的测评规范。
GB/T 32922-2023 信息安全技术 IPSec VPN安全接入基本要求与实施指南
国家市场监督管理总局、国家标准化管理委员会2023年3月17日经国家标准公告2023年第1号发布，2023年10月1日实施。该标准规定IPSec VPN安全接入的基本技术要求与实施指引，覆盖身份认证、密钥协商、加密隧道与访问控制等环节，明确算法套件选用、产品选型与部署配置要点，为远程办公与分支互联场景的通信保密提供规范。
GB/T 42456-2023 工业自动化和控制系统信息安全 IACS组件的安全技术要求
国家市场监督管理总局、国家标准化管理委员会2023年3月17日经国家标准公告2023年第1号发布，2023年10月1日实施。该标准规定工业自动化和控制系统组件的信息安全技术要求，覆盖嵌入式设备、网络组件与上位机软件，明确身份鉴别、访问控制、安全审计与通信防护要求，为工业控制系统安全准入、采购与测评提供依据。
GB/T 42457-2023 工业自动化和控制系统信息安全 产品安全开发生命周期要求
国家市场监督管理总局、国家标准化管理委员会2023年3月17日经国家标准公告2023年第1号发布，2023年10月1日实施。该标准规定工业自动化和控制系统产品的安全开发生命周期要求，覆盖需求分析、安全设计、安全编码、测试验证、发布维护与漏洞响应各阶段，推动安全能力内生于工控产品开发过程，落实供应链安全责任。
GB/T 20945-2023 信息安全技术 网络安全审计产品技术规范
国家市场监督管理总局、国家标准化管理委员会2023年5月23日经国家标准公告2023年第2号发布，2023年12月1日实施。该标准规定网络安全审计产品的技术要求和测评方法，覆盖日志采集、事件关联分析、报表生成与产品自身安全等能力，明确审计数据完整性、防篡改与留存期限要求，为审计类产品合规选型与检测提供统一技术依据。
GB/T 20986-2023 信息安全技术 网络安全事件分类分级指南
国家市场监督管理总局、国家标准化管理委员会2023年5月23日经国家标准公告2023年第2号发布，2023年12月1日实施。该标准规定网络安全事件的分类方法与分级规则，按事件性质、影响范围、危害程度与业务关联性划分等级，明确各类事件的判定要素与典型示例，是网络安全事件报告、应急响应与信息通报制度运行的基础性标准。
GB/T 28451-2023 信息安全技术 网络入侵防御产品技术规范
国家市场监督管理总局、国家标准化管理委员会2023年5月23日经国家标准公告2023年第2号发布，2023年12月1日实施。该标准规定网络入侵防御产品的功能要求、性能要求与安全保证要求，明确攻击检测覆盖率、阻断成功率与误报率等核心指标，并规定产品自身防护与管理审计要求，为企业选型与检测机构开展产品测评提供统一依据。
GB/T 30282-2023 信息安全技术 反垃圾邮件产品技术规范
国家市场监督管理总局、国家标准化管理委员会2023年5月23日经国家标准公告2023年第2号发布，2023年12月1日实施。该标准规定反垃圾邮件产品的技术要求与测评方法，覆盖邮件内容识别、行为分析、过滤处置、黑白名单与日志审计等能力，明确识别准确率、误判率与处理性能指标，为邮件系统安全产品的合规部署与效果评价提供依据。
GB/T 31167-2023 信息安全技术 云计算服务安全指南
国家市场监督管理总局、国家标准化管理委员会2023年5月23日经国家标准公告2023年第2号发布，2023年12月1日实施。该标准面向云计算服务客户给出安全使用指南，覆盖服务选型、合同与SLA约束、数据分类保护、密钥管理与退出迁移等关键环节，明确客户与云服务商的安全责任边界，是政务与重点行业上云安全管理的常用参照。
GB/T 31168-2023 信息安全技术 云计算服务安全能力要求
国家市场监督管理总局、国家标准化管理委员会2023年5月23日经国家标准公告2023年第2号发布，2023年12月1日实施。该标准与云计算服务安全指南配套，规定云服务商应具备的安全能力要求，覆盖系统与通信保护、人员与物理安全、审计、供应链与业务连续性等域，为云服务安全评估、资质审查与持续监督提供能力基准。
GB/T 42564-2023 信息安全技术 边缘计算安全技术要求
国家市场监督管理总局、国家标准化管理委员会2023年5月23日经国家标准公告2023年第2号发布，2023年12月1日实施。该标准规定边缘计算环境下的安全技术要求，覆盖边缘节点、边缘网关、边缘控制器与边云协同环节，明确设备身份鉴别、轻量密码应用、数据保护与安全隔离要求，为边缘侧数据处理活动的合规防护提供规范。
GB/T 42570-2023 信息安全技术 区块链技术安全框架
国家市场监督管理总局、国家标准化管理委员会2023年5月23日经国家标准公告2023年第2号发布，2023年12月1日实施。该标准规定区块链技术的安全框架，按网络层、共识层、合约层、数据层与应用层划分安全能力要求，明确密码算法合规、节点准入、智能合约安全与隐私保护要点，为区块链系统安全设计与评估提供顶层框架。
GB/T 42571-2023 信息安全技术 区块链信息服务安全规范
国家市场监督管理总局、国家标准化管理委员会2023年5月23日经国家标准公告2023年第2号发布，2023年12月1日实施。该标准面向区块链信息服务提供者规定安全要求，覆盖用户注册实名核验、信息内容审核、链上与链下数据保护与应急处置，与区块链信息服务管理相关规定相衔接，是开展备案与安全评估的重要技术参照。
GB/T 42573-2023 信息安全技术 网络身份服务安全技术要求
国家市场监督管理总局、国家标准化管理委员会2023年5月23日经国家标准公告2023年第2号发布，2023年12月1日实施。该标准规定网络身份服务的安全技术要求，覆盖身份注册、身份鉴别、凭证签发与吊销、服务审计等环节，明确个人信息最小化收集、存储加密与共享限制要求，为网络可信身份体系与实名制落实提供支撑。
GB/T 42583-2023 信息安全技术 政务网络安全监测平台技术规范
国家市场监督管理总局、国家标准化管理委员会2023年5月23日经国家标准公告2023年第2号发布，2023年12月1日实施。该标准规定政务网络安全监测平台的技术要求，覆盖监测数据采集、威胁分析、预警通报、处置联动与考核评价等能力，明确平台与上下级节点的数据接口与共享规范，为政务网络安全监测体系提供统一技术框架。
GB/T 42589-2023 信息安全技术 电子凭据服务安全规范
国家市场监督管理总局、国家标准化管理委员会2023年5月23日经国家标准公告2023年第2号发布，2023年12月1日实施。该标准规定电子凭据服务的安全要求，覆盖凭据开具、传输、存储、查验、归档与销毁全过程，明确签名验签、防篡改、访问控制与隐私保护要求，为电子票据与电子凭证类应用的合规运营提供依据。
GB/T 35282-2023 信息安全技术 电子政务移动办公系统安全技术规范
国家市场监督管理总局、国家标准化管理委员会2023年5月23日经国家标准公告2023年第2号发布，2023年12月1日实施。该标准规定电子政务移动办公系统的安全技术要求，覆盖移动终端管理、应用沙箱、安全接入、数据传输与远程擦除等环节，明确政务数据不得落地私域、边界隔离与审计要求，为移动政务安全建设提供规范。
GB/T 32914-2023 信息安全技术 网络安全服务能力要求
国家市场监督管理总局、国家标准化管理委员会2023年9月7日经国家标准公告2023年第9号发布，2024年4月1日实施。该标准规定网络安全服务组织应具备的能力要求，按风险评估、安全监测、应急响应、安全咨询等服务类别划分能力项，明确人员资质、流程规范与工具配备条件，为网络安全服务市场规范化与服务采购提供依据。
GB/T 32916-2023 信息安全技术 信息安全控制评估指南
国家市场监督管理总局、国家标准化管理委员会2023年9月7日经国家标准公告2023年第9号发布，2024年4月1日实施。该标准提供信息安全控制措施有效性的评估指南，规定评估准备、控制设计合理性测试与运行有效性测试的方法，帮助组织判断已有安全措施是否达到预期目标，为合规自评、内部审计与第三方评估提供方法论。
GB/T 42971-2023 第三方电子合同服务平台信息安全技术要求
国家市场监督管理总局、国家标准化管理委员会2023年9月7日经国家标准公告2023年第9号发布，2024年4月1日实施。该标准规定第三方电子合同服务平台的信息安全技术要求，覆盖实名认证、意愿认证、合同签署、存证保全与调取出证等环节，明确个人信息保护、证据链完整性与服务连续性要求，为电子合同服务合规运营提供技术基准。
GB/T 43557-2023 信息安全技术 网络安全信息报送指南
国家市场监督管理总局、国家标准化管理委员会2023年12月28日经国家标准公告2023年第20号发布，2024年7月1日实施。该标准给出网络安全信息报送的指南，明确报送主体、报送内容、时限要求与信息格式，规范事件、威胁、漏洞与风险等信息的报送流程，为网络安全信息共享与通报机制运行、监管态势掌握提供可操作依据。
GB/Z 42885-2023 信息安全技术 网络安全信息共享指南
国家市场监督管理总局、国家标准化管理委员会2023年8月6日经国家标准公告2023年第7号发布，2024年3月1日实施。该指导性技术文件给出网络安全信息共享的指南，规定共享参与方角色、共享内容分级、共享流程与保护措施，明确敏感信息脱敏、共享边界控制与责任划分要求，为行业与跨部门威胁情报共享提供规范。
GB/T 43577.1-2023 信息安全技术 电子发现 第1部分：概述和概念
国家市场监督管理总局、国家标准化管理委员会2023年12月28日经国家标准公告2023年第20号发布，2024年7月1日实施。该标准等同采用ISO/IEC 27050-1，规定电子发现的概述与基本概念，明确电子证据识别、保全、收集与出示的流程框架，为组织在诉讼与调查中合规处理电子数据提供基础概念体系。
GB/T 43578-2023 信息安全技术 通用密码服务接口规范
国家市场监督管理总局、国家标准化管理委员会2023年12月28日经国家标准公告2023年第20号发布，2024年7月1日实施。该标准规定通用密码服务的接口规范，统一密码运算、密钥管理、证书解析与随机数服务等调用接口，提升密码应用系统的互操作性与合规接入能力，为商用密码应用安全性评估提供接口层面的统一依据。
GB/T 43206-2023 信息安全技术 信息系统密码应用测评要求
国家市场监督管理总局、国家标准化管理委员会2023年9月7日经国家标准公告2023年第9号发布，2024年4月1日实施。该标准规定信息系统密码应用安全性评估的测评要求，按物理和环境、网络和通信、设备和计算、应用和数据四个技术层面明确测评指标与判定规则，是密评实施的核心技术标准，为密码法合规落地提供测评依据。
GB/T 43207-2023 信息安全技术 信息系统密码应用设计指南
国家市场监督管理总局、国家标准化管理委员会2023年9月7日经国家标准公告2023年第9号发布，2024年4月1日实施。该标准与信息系统密码应用测评要求配套，给出信息系统密码应用的设计指引，明确物理环境、网络通信、设备计算与应用数据各技术层面的密码防护要点、典型实现方案与部署要求，帮助建设单位在系统设计阶段同步规划并落实密码保障能力。
GB/T 31308.3-2023 行政、商业和行业中的数据元、过程和文档 长效签名 第3部分: PDF高级电子签名（PAdES）的长效签名规范
国家市场监督管理总局、国家标准化管理委员会2023年12月28日经国家标准公告2023年第20号发布，2024年4月1日实施。该标准规定PDF高级电子签名PAdES的长效签名格式与验签要求，明确签名时间戳、证书状态与失效信息的保全机制，解决签名证书过期后的验证难题，保障电子文档在长期保存场景下的可验证性与证据效力。
GB/T 31308.4-2023 行政、商业和行业中的数据元、过程和文档 长效签名 第4部分：用于长效签名格式的存证对象属性
国家市场监督管理总局、国家标准化管理委员会2023年12月28日经国家标准公告2023年第20号发布，2024年4月1日实施。该标准规定长效签名格式中存证对象的属性要求，明确证据记录、时间戳、证书状态与验证数据的封装方式，并规定存证对象与签名文档的关联机制，支撑电子签名在司法举证与长期归档场景下的证据效力认定。
GB/T 43575-2023 区块链和分布式记账技术 系统测试规范
国家市场监督管理总局、国家标准化管理委员会2023年12月28日经国家标准公告2023年第20号发布，2024年4月1日实施。该标准规定区块链和分布式记账技术系统的测试规范，覆盖功能符合性、性能指标、安全机制与可靠性等测试维度，明确测试环境搭建、测试用例设计与结果判定要求，为区块链系统验收与质量评价提供依据。
GB/T 43331-2023 互联网数据中心（IDC）技术和分级要求
国家市场监督管理总局、国家标准化管理委员会2023年11月27日经国家标准公告2023年第13号发布，2024年6月1日实施。该标准规定互联网数据中心的技术要求与分级方法，按可用性、能效、安全防护与运维服务能力划分等级，明确机房环境、网络架构、访问管理与数据安全要求，为IDC建设选型与承载重要数据提供分级依据。
GB/T 47473-2026 互联网域名服务身份信息核验技术要求
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第21号发布，2026年11月1日实施。该标准规定互联网域名服务中域名持有者身份信息核验的技术要求，明确核验渠道、核验要素、结果判定与记录留存要求，强化域名实名制落实，并规范核验过程中个人信息的收集、存储与使用边界。
GB 42250-2022 信息安全技术 网络安全专用产品安全技术要求
国家市场监督管理总局、国家标准化管理委员会2022年12月29日经国家标准公告2022年第19号发布，2023年7月1日实施。该标准为强制性国家标准，规定网络安全专用产品在安全功能、安全保障与安全管理三方面应达到的最低要求，覆盖访问控制、入侵防范、安全审计与数据保护等能力域，适用于产品研制、检测认证与销售准入，是网络安全专用产品强制认证的核心技术依据。
GB/T 32399-2024 信息技术 云计算 参考架构
国家市场监督管理总局、国家标准化管理委员会2024年8月23日经国家标准公告2024年第17号发布，2025年3月1日实施。该标准给出云计算参考架构，明确角色、活动与功能组件的划分及相互关系，覆盖资源管理、服务编排与安全保障，为云服务设计、部署与数据安全管理提供统一架构参照。，为云服务提供方与使用方建立安全基线提供依据。
GB/T 44271-2024 信息技术 云计算 边缘云通用技术要求
国家市场监督管理总局、国家标准化管理委员会2024年8月23日经国家标准公告2024年第17号发布，2025年3月1日实施。该标准规定边缘云的体系架构与通用技术要求，覆盖边缘节点管理、应用分发、数据协同与安全隔离，明确边缘侧数据处理与回传策略，为边缘计算场景的数据安全与合规提供技术依据。，为云服务提供方与使用方建立安全基线提供依据。
GB/T 43433-2023 信息技术 云计算 虚拟机资源管理系统测试方法
国家市场监督管理总局、国家标准化管理委员会2023年11月27日经国家标准公告2023年第13号发布，2024年6月1日实施。该标准规定云计算虚拟机资源管理系统的测试环境、测试指标与测试方法，覆盖资源调度、隔离性、可靠性与安全性验证，为云服务商能力评价与用户选型提供可度量的测试依据。，为云服务提供方与使用方建立安全基线提供依据。
GB/T 33136-2024 信息技术服务 数据中心服务能力成熟度模型
国家市场监督管理总局、国家标准化管理委员会2024年12月31日经国家标准公告2024年第32号发布，2025年7月1日实施。该标准给出数据中心服务能力成熟度模型，划分能力域与成熟度等级，明确人员、过程、技术与资源维度的评价要素，为数据中心开展服务能力自评估与持续改进提供方法依据。，为云服务提供方与使用方建立安全基线提供依据。
GB/T 39770-2021 信息技术服务 服务安全要求
国家市场监督管理总局、国家标准化管理委员会2021年3月9日经国家标准公告2021年第3号发布，2021年10月1日实施。该标准规定信息技术服务在人员、过程、技术与资源方面的安全要求，覆盖服务交付、信息访问控制与事件处置，明确数据安全与保密管理条款，为服务供需双方建立安全基线提供依据。，为云服务提供方与使用方建立安全基线提供依据。
GB/T 43738-2024 工业互联网平台 异构协议兼容适配要求
国家市场监督管理总局、国家标准化管理委员会2024年3月15日经国家标准公告2024年第1号发布，2024年10月1日实施。该标准规定工业互联网平台异构协议兼容适配的总体要求与功能要求，明确协议解析、数据映射与转换规则，解决多源设备与系统互联中的数据语义一致性问题，支撑工业数据互通。，为物联网系统互联互通与数据共享提供标准支撑。
GB/Z 24294.2-2017 信息安全技术 基于互联网电子政务信息安全实施指南 第2部分：接入控制与安全交换
国家市场监督管理总局、国家标准化管理委员会2017年5月31日经国家标准公告2017年第13号发布，2017年12月1日实施。该指导性技术文件给出基于互联网的电子政务接入控制与安全交换实施指南，明确边界防护、身份认证与跨网数据交换的安全技术要求，为政务信息系统安全接入提供实施参照。，为网络运营者落实安全保护义务提供技术参照。
GB/Z 24294.3-2017 信息安全技术 基于互联网电子政务信息安全实施指南 第3部分：身份认证与授权管理
国家市场监督管理总局、国家标准化管理委员会2017年5月31日经国家标准公告2017年第13号发布，2017年12月1日实施。该指导性技术文件给出电子政务环境下身份认证与授权管理的实施指南，明确统一身份管理、权限分配与安全审计要求，为政务系统实现可信身份体系与最小授权提供技术参照。，为网络运营者落实安全保护义务提供技术参照。
GB/Z 24294.4-2017 信息安全技术 基于互联网电子政务信息安全实施指南 第4部分：终端安全防护
国家市场监督管理总局、国家标准化管理委员会2017年5月12日经国家标准公告2017年第11号发布，2017年12月1日实施。该指导性技术文件给出接入电子政务的终端安全防护实施指南，明确终端准入、恶意代码防范、外设管控与数据保护措施，为政务终端安全基线建设提供可操作的技术参照。，为网络运营者落实安全保护义务提供技术参照。
GB/T 32918.5-2017 信息安全技术 SM2椭圆曲线公钥密码算法 第5部分：参数定义
国家市场监督管理总局、国家标准化管理委员会2017年5月12日经国家标准公告2017年第11号发布，2017年12月1日实施。该标准规定SM2椭圆曲线公钥密码算法的参数定义，包括曲线参数、基点与阶的选取规则，是SM2算法实现与密码产品检测的基础性标准，支撑商用密码在数据安全与身份认证中的应用。，为网络运营者落实安全保护义务提供技术参照。
GB/T 33560-2017 信息安全技术 密码应用标识规范
国家市场监督管理总局、国家标准化管理委员会2017年5月12日经国家标准公告2017年第11号发布，2017年12月1日实施。该标准规定密码算法、密钥与密码服务对象的统一标识编码规则，明确标识结构与注册管理要求，解决跨系统密码应用互认问题，为密码应用合规性检测提供基础规范依据。，为网络运营者落实安全保护义务提供技术参照。
GB/T 33561-2017 信息安全技术 安全漏洞分类
国家市场监督管理总局、国家标准化管理委员会2017年5月12日经国家标准公告2017年第11号发布，2017年12月1日实施。该标准规定信息安全漏洞的分类方法与类别描述，覆盖代码缺陷、配置错误与设计缺陷等类型，为漏洞库建设、风险评估与通报处置提供统一的分类语言，支撑漏洞信息共享与协同处置。，为网络运营者落实安全保护义务提供技术参照。
GB/T 33562-2017 信息安全技术 安全域名系统实施指南
国家市场监督管理总局、国家标准化管理委员会2017年5月12日经国家标准公告2017年第11号发布，2017年12月1日实施。该标准给出安全域名系统的实施指南，明确域名解析安全防护、数据来源验证与防篡改技术要求，指导域名服务运营者防范劫持与缓存投毒，保障域名解析服务的完整性与可用性。，为网络运营者落实安全保护义务提供技术参照。
GB/T 33563-2017 信息安全技术 无线局域网客户端安全技术要求（评估保障级2级增强）
国家市场监督管理总局、国家标准化管理委员会2017年5月12日经国家标准公告2017年第11号发布，2017年12月1日实施。该标准规定评估保障级2级增强的无线局域网客户端安全技术要求，明确身份鉴别、密钥管理与数据传输保护条款，为无线接入场景的终端安全产品检测与合规判定提供准则。，为网络运营者落实安全保护义务提供技术参照。
GB/T 33565-2017 信息安全技术 无线局域网接入系统安全技术要求（评估保障级2级增强）
国家市场监督管理总局、国家标准化管理委员会2017年5月12日经国家标准公告2017年第11号发布，2017年12月1日实施。该标准规定无线局域网接入系统在评估保障级2级增强下的安全技术要求，覆盖接入认证、访问控制与安全审计，为无线接入设备的安全测评与等级评估提供技术准则。，为网络运营者落实安全保护义务提供技术参照。
GB/T 17903.1-2024 信息技术 安全技术 抗抵赖 第1部分：概述
国家市场监督管理总局、国家标准化管理委员会2024年3月15日经国家标准公告2024年第1号发布，2024年10月1日实施。该标准给出抗抵赖服务的总体框架与概念模型，明确证据生成、验证与保存机制，为电子交易与数据交换场景中行为可追溯、责任可认定提供基础性技术支撑，适用于抗抵赖能力设计与评估。，为网络运营者落实安全保护义务提供技术参照。
GB/T 17903.3-2024 信息技术 安全技术 抗抵赖 第3部分：采用非对称技术的机制
国家市场监督管理总局、国家标准化管理委员会2024年3月15日经国家标准公告2024年第1号发布，2024年10月1日实施。该标准规定采用非对称密码技术实现的抗抵赖机制，明确数字签名、时间戳与证据验证流程，为电子证据生成与争议仲裁提供技术实现路径与安全要求，支撑数据交换过程的责任认定。，为网络运营者落实安全保护义务提供技术参照。
GB/T 31497-2024 信息技术 安全技术 信息安全管理 监视、测量、分析和评价
国家市场监督管理总局、国家标准化管理委员会2024年3月15日经国家标准公告2024年第1号发布，2024年10月1日实施。该标准规定信息安全管理体系监视、测量、分析和评价的要求与实施指南，明确指标设计、数据收集与结果评价方法，帮助组织量化评估安全控制有效性并持续改进，支撑合规审计。，为网络运营者落实安全保护义务提供技术参照。
GB/T 17901.3-2021 信息技术 安全技术 密钥管理 第3部分：采用非对称技术的机制
国家市场监督管理总局、国家标准化管理委员会2021年3月9日经国家标准公告2021年第3号发布，2021年10月1日实施。该标准规定采用非对称技术的密钥管理机制，覆盖密钥生成、分发、存储、更新与销毁全生命周期，明确安全策略与技术要求，为数据加密与身份认证提供密钥管理依据。，为网络运营者落实安全保护义务提供技术参照。
GB/T 25068.5-2021 信息技术 安全技术 网络安全 第5部分：使用虚拟专用网的跨网通信安全保护
国家市场监督管理总局、国家标准化管理委员会2021年3月9日经国家标准公告2021年第3号发布，2021年10月1日实施。该标准规定使用虚拟专用网实现跨网通信的安全保护要求，明确隧道建立、身份鉴别与数据加密机制，给出不同安全域互联场景下的防护设计指南，保障跨网传输数据的机密性与完整性。，为网络运营者落实安全保护义务提供技术参照。
GB/T 44585.1-2024 风险管理在接入IT网络的医疗器械中的应用 第1部分：联网医疗器械或健康软件在其实施和使用中的安全、有效性和网络安全
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2026年4月1日实施。该标准规定接入IT网络的医疗器械与健康软件在实施和使用中的风险管理要求，明确网络安全、数据安全与有效性评价方法，为医疗健康设备联网场景的合规与风险处置提供指南。，为网络运营者落实安全保护义务提供技术参照。
GB/T 34079.2-2021 基于云计算的电子政务公共平台服务规范 第2部分：应用部署和数据迁移
国家市场监督管理总局、国家标准化管理委员会2021年3月9日经国家标准公告2021年第3号发布，2021年10月1日实施。该标准规定电子政务公共平台应用部署与数据迁移的服务要求，明确迁移流程、数据校验与回退机制，保障政务系统上云迁移过程的数据完整性与业务连续性，防范迁移中的数据丢失与泄露风险。，为组织数据管理能力建设与评价提供标准依据。
GB/T 34080.3-2021 基于云计算的电子政务公共平台安全规范 第3部分：服务安全
国家市场监督管理总局、国家标准化管理委员会2021年3月9日经国家标准公告2021年第3号发布，2021年10月1日实施。该标准规定电子政务公共平台服务安全要求，明确服务提供方在身份鉴别、访问控制、数据保护与安全审计方面的义务，为政务云服务安全合规提供规范依据，保障服务全周期安全可控。，为组织数据管理能力建设与评价提供标准依据。
GB/T 34080.4-2021 基于云计算的电子政务公共平台安全规范 第4部分：应用安全
国家市场监督管理总局、国家标准化管理委员会2021年3月9日经国家标准公告2021年第3号发布，2021年10月1日实施。该标准规定电子政务公共平台应用安全要求，明确应用开发、上线运行与运维环节的安全控制，覆盖输入校验、会话管理与敏感数据保护，为政务应用安全提供规范，降低应用侧数据泄露风险。，为组织数据管理能力建设与评价提供标准依据。
GB/T 38660-2020 物联网标识体系 Ecode标识系统安全机制
国家市场监督管理总局、国家标准化管理委员会2020年3月31日经国家标准公告2020年第4号发布，2020年10月1日实施。该标准规定Ecode标识系统的安全机制，明确标识注册、解析与访问过程的安全要求，覆盖身份认证、权限控制与传输保护，为物联网标识体系安全运行提供技术保障，防范标识伪造与解析劫持。
GB/T 33745-2017 物联网 术语
国家市场监督管理总局、国家标准化管理委员会2017年5月12日经国家标准公告2017年第11号发布，2017年12月1日实施。该标准统一物联网领域的基础术语与定义，覆盖感知、网络、应用与标识等核心概念，为物联网技术研发、标准制定与产业交流提供统一的概念基准，降低跨领域沟通成本与规则冲突。，为物联网系统互联互通与数据共享提供标准支撑。
GB/T 33901-2017 工业物联网仪表身份标识协议
国家市场监督管理总局、国家标准化管理委员会2017年7月12日经国家标准公告2017年第18号发布，2018年2月1日实施。该标准规定工业物联网仪表的身份标识协议，明确标识结构、注册与解析机制，为仪表设备的唯一识别与运行数据溯源提供协议规范，支撑工业现场设备安全管理，保障数据来源可信。，为物联网系统互联互通与数据共享提供标准支撑。
GB/T 20269-2006 信息安全技术 信息系统安全管理要求
国家质量监督检验检疫总局、国家标准化管理委员会2006年7月26日发布国家标准公告，2006年12月1日实施。该标准规定信息系统安全管理的安全管理要求，覆盖安全策略、组织机构、人员管理、资产管理、访问控制与应急管理等管理要素，是等保体系下信息系统安全管理建设与监督检查的基础性依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 20271-2006 信息安全技术 信息系统通用安全技术要求
国家质量监督检验检疫总局、国家标准化管理委员会2006年7月26日发布国家标准公告，2006年12月1日实施。该标准规定信息系统通用安全技术要求，从物理安全、运行安全与数据安全三个层面提出安全功能要求，并按安全保护等级划分技术要求，是信息系统安全建设与产品研制的重要技术依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 20273-2006 信息安全技术 数据库管理系统安全技术要求
国家质量监督检验检疫总局、国家标准化管理委员会2006年7月26日发布国家标准公告，2006年12月1日实施。该标准规定数据库管理系统安全技术要求，明确身份鉴别、访问控制、安全审计与数据完整性、保密性保护功能要求，并按安全等级提出分档指标，是数据库安全产品检测与选型的核心依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 20274.1-2006 信息安全技术 信息系统安全保障评估框架 第一部分：简介和一般模型
国家质量监督检验检疫总局、国家标准化管理委员会2006年7月26日发布国家标准公告，2006年12月1日实施。该标准为信息系统安全保障评估框架的第一部分，给出简介和一般模型，提出以安全概念、安全属性与安全目标为核心的信息系统安全保障评估模型，为后续技术、管理、工程保障各部分提供统一框架。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 20281-2006 信息安全技术 防火墙技术要求和测试评价方法
国家质量监督检验检疫总局、国家标准化管理委员会2006年7月26日发布国家标准公告，2006年12月1日实施。该标准规定防火墙产品的技术要求和测试评价方法，涵盖包过滤、应用代理、状态检测等类型，明确安全功能、性能与自身安全要求，是防火墙产品检测认证与采购选型的重要依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 20261-2006 信息技术 系统安全工程 能力成熟度模型
国家质量监督检验检疫总局、国家标准化管理委员会2006年7月26日发布国家标准公告，2006年7月1日实施。该标准等同采用系统安全工程能力成熟度模型（SSE-CMM），规定系统安全工程过程的能力成熟度等级与评估方法，为组织衡量和改进安全工程能力提供模型化工具。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 20009-2005 信息安全技术 数据库管理系统安全评估准则
国家质量监督检验检疫总局、国家标准化管理委员会2006年7月26日发布国家标准公告，2006年5月1日实施。该标准规定数据库管理系统的安全评估准则，明确评估对象、安全功能要求与保障要求及其评估方法，为数据库产品安全测评与等级评定提供技术准则。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，适用于相关系统的规划、设计、建设与运维全过程
GB/Z 20283-2006 信息安全技术 保护轮廓和安全目标的产生指南
国家质量监督检验检疫总局、国家标准化管理委员会2006年7月26日发布国家标准公告，2006年12月1日实施。该指导性技术文件给出保护轮廓和安全目标的产生指南，规定二者编写的结构、内容要素与表述要求，是开展信息技术产品与系统安全评估时编制评估依据文档的方法指导。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 20518-2006 信息安全技术 公钥基础设施 数字证书格式
国家质量监督检验检疫总局、国家标准化管理委员会2006年12月25日发布国家标准公告，2007年2月1日实施。该标准规定公钥基础设施中数字证书的基本格式，明确证书字段构成、扩展项定义与编码规则，是实现数字证书互认互通与电子签名有效性的基础性标准。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 20520-2006 信息安全技术 公钥基础设施 时间戳规范
国家质量监督检验检疫总局、国家标准化管理委员会2006年12月25日发布国家标准公告，2007年2月1日实施。该标准规定公钥基础设施时间戳规范，明确时间戳机构、时间戳申请与签发流程、令牌格式及安全要求，为数据电文时间属性证明与抗抵赖提供技术依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 20282-2006 信息安全技术 信息系统安全工程管理要求
国家质量监督检验检疫总局、国家标准化管理委员会2006年7月26日发布国家标准公告，2006年12月1日实施。该标准规定信息系统安全工程管理要求，从工程组织、过程实施与项目管控等方面提出管理要求，适用于信息系统安全工程建设全过程的规范化管理。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，适用于相关系统的规划、设计、建设与运维全过程
GB/T 20276-2006 信息安全技术 智能卡嵌入式软件安全技术要求（EAL4增强级）
国家质量监督检验检疫总局、国家标准化管理委员会2006年7月26日发布国家标准公告，2006年12月1日实施。该标准规定具有中央处理器的智能卡嵌入式软件安全技术要求（EAL4 增强级），明确安全功能、安全保障与生命周期管理要求，是智能卡产品高等级安全检测认证的技术依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 20988-2007 信息安全技术 信息系统灾难恢复规范
国家质量监督检验检疫总局、国家标准化管理委员会2007年8月10日发布国家标准公告，2007年11月1日实施。该标准规定信息系统灾难恢复规范，提出灾难恢复能力等级划分、恢复时间目标与恢复点目标要求，明确灾难恢复预案、演练与运维管理要求，是业务连续性建设的重要依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/Z 20986-2007 信息安全技术 信息安全事件分类分级指南
国家质量监督检验检疫总局、国家标准化管理委员会2007年8月10日发布国家标准公告，2007年11月1日实施。该指导性技术文件给出信息安全事件分类分级指南，按事件来源与危害程度划分事件类别与级别，为信息安全事件报告、研判与响应处置提供统一口径。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，适用于相关系统的规划、设计、建设与运维全过程
GB/Z 20985-2007 信息技术 安全技术 信息安全事件管理指南
国家质量监督检验检疫总局、国家标准化管理委员会2007年8月10日发布国家标准公告，2007年11月1日实施。该指导性技术文件给出信息安全事件管理指南，规定事件管理的规划准备、检测报告、评估处置与总结改进流程，指导组织建立健全信息安全事件管理体系。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 20945-2007 信息安全技术 信息系统安全审计产品技术要求和测试评价方法
国家质量监督检验检疫总局、国家标准化管理委员会2007年8月10日发布国家标准公告，2007年12月1日实施。该标准规定信息系统安全审计产品的技术要求和测试评价方法，明确审计数据采集、事件分析与报表输出等功能，是安全审计产品检测与部署应用的依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 21053-2007 信息安全技术 公钥基础设施 PKI系统安全等级保护技术要求
国家质量监督检验检疫总局、国家标准化管理委员会2007年10月17日发布国家标准公告，2008年1月1日实施。该标准规定公钥基础设施 PKI 系统安全等级保护技术要求，按安全等级提出密钥管理、证书管理与系统防护的分档要求，是 PKI 系统分级建设与测评的技术依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 21028-2007 信息安全技术 服务器安全技术要求
国家质量监督检验检疫总局、国家标准化管理委员会2007年8月30日发布国家标准公告，2007年12月1日实施。该标准规定服务器安全技术要求，从身份鉴别、访问控制、安全审计与剩余信息保护等方面提出要求，并按安全等级划分，是服务器产品安全检测的依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 21061-2007 国家电子政务网络技术和运行管理规范
国家质量监督检验检疫总局、国家标准化管理委员会2007年10月17日发布国家标准公告，2008年3月1日实施。该标准规定国家电子政务网络技术和运行管理规范，明确政务网络架构、技术要求与运行管理职责，是政务网络安全运行与统一管理的重要依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，对提升整体安全防护水平与风险防控能力具有积极作用
GB/T 18018-2007 信息安全技术 路由器安全技术要求
国家质量监督检验检疫总局、国家标准化管理委员会2007年8月10日发布国家标准公告，2007年12月1日实施。该标准规定路由器安全技术要求，明确路由设备的身份鉴别、访问控制、审计与安全协议要求，并按安全等级划分，是网络设备安全检测的常用依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，适用于相关系统的规划、设计、建设与运维全过程
GB/T 21050-2007 信息安全技术 网络交换机安全技术要求（评估保证级3）
国家质量监督检验检疫总局、国家标准化管理委员会2007年10月17日发布国家标准公告，2008年1月1日实施。该标准规定网络交换机安全技术要求（评估保证级 3），明确交换机的安全功能与安全保证要求，为网络设备安全测评与采购提供技术依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，对提升整体安全防护水平与风险防控能力具有积极作用
GB/T 22081-2008 信息技术 安全技术 信息安全管理实用规则
国家质量监督检验检疫总局、国家标准化管理委员会2008年7月29日发布国家标准公告，2008年11月1日实施。该标准等同采用 ISO/IEC 27002，给出信息安全管理实用规则，涵盖安全方针、资产管理、访问控制、密码学、物理与环境安全、事件管理等控制项，是组织建立信息安全管理体系的控制措施集。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 17964-2008 信息安全技术 分组密码算法的工作模式
国家质量监督检验检疫总局、国家标准化管理委员会2008年8月18日发布国家标准公告，2008年11月1日实施。该标准规定分组密码算法的工作模式，明确电码本、密码分组链接、计数器等多种工作模式的定义与处理方法，是商用密码应用与数据加密实现的基础性标准。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 15843.3-2008 信息技术 安全技术 实体鉴别 第3部分: 采用数字签名技术的机制
国家质量监督检验检疫总局、国家标准化管理委员会2008年7月29日发布国家标准公告，2008年11月1日实施。该标准为实体鉴别第三部分，规定采用数字签名技术的机制，明确鉴别流程、消息结构与密钥管理要求，为身份认证系统设计与互操作提供依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，对提升整体安全防护水平与风险防控能力具有积极作用
GB/T 22186-2008 信息安全技术 具有中央处理器的集成电路（IC）卡芯片安全技术要求（评估保证级4增强级）
国家质量监督检验检疫总局、国家标准化管理委员会2008年9月11日发布国家标准公告，2008年12月1日实施。该标准规定具有中央处理器的集成电路（IC）卡芯片安全技术要求（评估保证级 4 增强级），明确芯片安全防护、抗攻击与生命周期管理要求，是智能卡芯片高等级安全认证依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 20274.2-2008 信息安全技术 信息系统安全保障评估框架 第2部分：技术保障
国家质量监督检验检疫总局、国家标准化管理委员会2008年10月31日发布国家标准公告，2008年12月1日实施。该标准为信息系统安全保障评估框架第二部分，规定技术保障要求，从安全技术功能与技术实现层面提出保障要求，与管理和工程保障共同构成完整评估框架。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 24363-2009 信息安全技术 信息安全应急响应计划规范
国家质量监督检验检疫总局、国家标准化管理委员会2009年10月9日发布国家标准公告，2009年12月1日实施。该标准规定信息安全应急响应计划规范，明确应急响应的组织、预案编制、演练与处置流程要求，是组织提升安全事件应急处置能力的重要依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，对提升整体安全防护水平与风险防控能力具有积极作用
GB/Z 24294-2009 信息安全技术 基于互联网电子政务信息安全实施指南
国家质量监督检验检疫总局、国家标准化管理委员会2009年8月28日发布国家标准公告，2010年2月1日实施。该指导性技术文件给出基于互联网电子政务信息安全实施指南，针对互联网环境下政务系统提出安全防护、访问控制与安全管理实施建议，指导政务系统安全建设。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 25058-2010 信息安全技术 信息系统安全等级保护实施指南
国家质量监督检验检疫总局、国家标准化管理委员会2010年9月14日经国家标准公告2010年第4号发布，2011年2月1日实施。该标准规定信息系统安全等级保护实施指南，明确等保定级、备案、建设整改、等级测评与监督检查各环节要求，是网络安全等级保护制度落地实施的核心操作依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 25070-2010 信息安全技术 信息系统等级保护安全设计技术要求
国家质量监督检验检疫总局、国家标准化管理委员会2010年9月14日经国家标准公告2010年第4号发布，2011年2月1日实施。该标准规定信息系统等级保护安全设计技术要求，从总体设计、区域边界、通信网络与计算环境等方面提出分等级的安全设计技术要求，是等保建设整改的设计依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 25069-2010 信息安全技术 术语
国家质量监督检验检疫总局、国家标准化管理委员会2010年9月14日经国家标准公告2010年第4号发布，2011年2月1日实施。该标准规定信息安全技术术语，统一信息安全领域基础概念、技术与管理术语的定义，是信息安全标准编制、学术研究与管理沟通的用语基础。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 25062-2010 信息安全技术 鉴别与授权 基于角色的访问控制模型与管理规范
国家质量监督检验检疫总局、国家标准化管理委员会2010年9月14日经国家标准公告2010年第4号发布，2011年2月1日实施。该标准规定基于角色的访问控制模型与管理规范，明确角色定义、权限分配与角色层级管理要求，是信息系统权限设计与访问控制实现的重要参考。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 25056-2010 信息安全技术 证书认证系统密码及其相关安全技术规范
国家质量监督检验检疫总局、国家标准化管理委员会2010年9月14日经国家标准公告2010年第4号发布，2011年2月1日实施。该标准规定证书认证系统密码及其相关安全技术规范，明确证书认证系统的密钥管理、密码设备与安全协议要求，是电子认证服务机构建设与密码应用安全的技术依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 25064-2010 信息安全技术 公钥基础设施 电子签名格式规范
国家质量监督检验检疫总局、国家标准化管理委员会2010年9月14日经国家标准公告2010年第4号发布，2011年2月1日实施。该标准规定电子签名格式规范，明确电子签名数据的结构、编码与验证信息要求，为实现电子签名互认与法律效力认定提供技术基础。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，适用于相关系统的规划、设计、建设与运维全过程
GB/T 25061-2010 信息安全技术 公钥基础设施 XML数字签名语法与处理规范
国家质量监督检验检疫总局、国家标准化管理委员会2010年9月14日经国家标准公告2010年第4号发布，2011年2月1日实施。该标准规定 XML 数字签名语法与处理规范，明确 XML 文档的签名生成与验证处理规则，是结构化数据交换场景实现完整性与抗抵赖保护的依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 25068.3-2010 信息技术 安全技术 IT网络安全 第3部分：使用安全网关的网间通信安全保护
国家质量监督检验检疫总局、国家标准化管理委员会2010年9月14日经国家标准公告2010年第4号发布，2011年2月1日实施。该标准为 IT 网络安全第三部分，规定使用安全网关的网间通信安全保护要求，明确安全网关部署、访问控制与安全审计要求。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，适用于相关系统的规划、设计、建设与运维全过程
GB/T 25068.5-2010 信息技术 安全技术 IT网络安全 第5部分：使用虚拟专用网的跨网通信安全保护
国家质量监督检验检疫总局、国家标准化管理委员会2010年9月14日经国家标准公告2010年第4号发布，2011年2月1日实施。该标准为 IT 网络安全第五部分，规定使用虚拟专用网的跨网通信安全保护要求，明确 VPN 安全策略、加密隧道与接入控制要求。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 28448-2012 信息安全技术 信息系统安全等级保护测评要求
国家质量监督检验检疫总局、国家标准化管理委员会2012年6月29日经国家标准公告2012年第13号发布，2012年10月1日实施。该标准规定信息系统安全等级保护测评要求，明确各安全保护等级在技术要求与管理要求方面的测评指标，是等级测评机构开展等保测评工作的核心技术依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 28449-2012 信息安全技术 信息系统安全等级保护测评过程指南
国家质量监督检验检疫总局、国家标准化管理委员会2012年6月29日经国家标准公告2012年第13号发布，2012年10月1日实施。该标准规定信息系统安全等级保护测评过程指南，明确测评准备、方案编制、现场测评与报告编制各阶段任务，规范等级测评实施过程与成果输出。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 28453-2012 信息安全技术 信息系统安全管理评估要求
国家质量监督检验检疫总局、国家标准化管理委员会2012年6月29日经国家标准公告2012年第13号发布，2012年10月1日实施。该标准规定信息系统安全管理评估要求，从安全管理机构、制度、人员与建设运维等方面提出评估指标，是开展信息系统安全管理状况评估的依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 28452-2012 信息安全技术 应用软件系统通用安全技术要求
国家质量监督检验检疫总局、国家标准化管理委员会2012年6月29日经国家标准公告2012年第13号发布，2012年10月1日实施。该标准规定应用软件系统通用安全技术要求，明确身份鉴别、访问控制、安全审计与数据保护等功能要求，适用于各类应用软件系统的安全设计与测评。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 28458-2012 信息安全技术 安全漏洞标识与描述规范
国家质量监督检验检疫总局、国家标准化管理委员会2012年6月29日经国家标准公告2012年第13号发布，2012年10月1日实施。该标准规定安全漏洞标识与描述规范，统一漏洞编号、属性描述与严重性分级要求，为漏洞信息共享、风险评估与应急通报提供统一数据格式。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 28517-2012 网络安全事件描述和交换格式
国家质量监督检验检疫总局、国家标准化管理委员会2012年6月29日经国家标准公告2012年第13号发布，2012年10月1日实施。该标准规定网络安全事件描述和交换格式，统一安全事件的属性要素、描述结构与交换格式，为跨组织安全事件信息共享与协同处置提供基础。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 28447-2012 信息安全技术 电子认证服务机构运营管理规范
国家质量监督检验检疫总局、国家标准化管理委员会2012年6月29日经国家标准公告2012年第13号发布，2012年10月1日实施。该标准规定电子认证服务机构运营管理规范，明确 CA 机构的业务管理、安全管理与服务保障要求，是电子认证服务机构合规运营与管理评价的依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 29245-2012 信息安全技术 政府部门信息安全管理基本要求
国家质量监督检验检疫总局、国家标准化管理委员会2012年12月31日经国家标准公告2012年第41号发布，2013年6月1日实施。该标准规定政府部门信息安全管理基本要求，明确政务部门信息安全组织、制度、人员与建设运维管理要求，是政务领域信息安全规范化管理的重要标准。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 28451-2012 信息安全技术 网络型入侵防御产品技术要求和测试评价方法
国家质量监督检验检疫总局、国家标准化管理委员会2012年6月29日经国家标准公告2012年第13号发布，2012年10月1日实施。该标准规定网络型入侵防御产品的技术要求和测试评价方法，明确入侵检测、阻断与自身防护等能力要求，是入侵防御产品检测认证的常用依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 29829-2013 信息安全技术 可信计算密码支撑平台功能与接口规范
国家质量监督检验检疫总局、国家标准化管理委员会2013年11月19日经国家标准公告2013年第22号发布，2014年2月1日实施。该标准规定可信计算密码支撑平台功能与接口规范，明确可信密码模块的密钥管理、密码服务与接口调用要求，是我国可信计算体系建设的核心标准之一。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 29827-2013 信息安全技术 可信计算规范 可信平台主板功能接口
国家质量监督检验检疫总局、国家标准化管理委员会2013年11月19日经国家标准公告2013年第22号发布，2014年2月1日实施。该标准规定可信计算规范中可信平台主板功能接口要求，明确可信平台模块与主板之间的连接、度量与信任链传递接口，是可信计算产品实现的依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 30276-2013 信息安全技术 信息安全漏洞管理规范
国家质量监督检验检疫总局、国家标准化管理委员会2013年12月31日经国家标准公告2013年第27号发布，2014年7月15日实施。该标准规定信息安全漏洞管理规范，明确组织内部漏洞发现、评估、处置与披露的管理流程，是建立漏洞全生命周期管理机制的通用依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 30279-2013 信息安全技术 安全漏洞等级划分指南
国家质量监督检验检疫总局、国家标准化管理委员会2013年12月31日经国家标准公告2013年第27号发布，2014年7月15日实施。该标准规定安全漏洞等级划分指南，按漏洞利用条件与危害程度划分严重性等级，为漏洞定级、风险排序与修复时限确定提供统一尺度。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 30285-2013 信息安全技术 灾难恢复中心建设与运维管理规范
国家质量监督检验检疫总局、国家标准化管理委员会2013年12月31日经国家标准公告2013年第27号发布，2014年7月15日实施。该标准规定灾难恢复中心建设与运维管理规范，明确灾难恢复中心的选址建设、设施配备、运行维护与演练管理要求，是灾备中心规范化建设与运营的依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 30273-2013 信息安全技术 信息系统安全保障通用评估指南
国家质量监督检验检疫总局、国家标准化管理委员会2013年12月31日经国家标准公告2013年第27号发布，2014年7月15日实施。该标准规定信息系统安全保障通用评估指南，明确评估原则、评估内容与评估实施方法，为信息系统安全保障能力评估提供通用框架。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 31167-2014 信息安全技术 云计算服务安全指南
国家质量监督检验检疫总局、国家标准化管理委员会2014年9月3日经国家标准公告2014年第21号发布，2015年4月1日实施。该标准规定云计算服务安全指南，为政府部门及重点行业采用云计算服务提供安全管理指导，明确云服务商与客户的安全责任划分，是云服务安全审查与客户选型的重要参考。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 31168-2014 信息安全技术 云计算服务安全能力要求
国家质量监督检验检疫总局、国家标准化管理委员会2014年9月3日经国家标准公告2014年第21号发布，2015年4月1日实施。该标准规定云计算服务安全能力要求，从系统开发与供应链、数据与隐私保护、应急响应等方面提出云服务商应具备的安全能力，是云计算服务安全评估的核心依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 30976.1-2014 工业控制系统信息安全 第1部分：评估规范
国家质量监督检验检疫总局、国家标准化管理委员会2014年7月16日经国家标准公告2014年第19号发布，2015年2月1日实施。该标准规定工业控制系统信息安全第一部分评估规范，明确工控系统信息安全评估的内容、方法与判定准则，是工控安全评估实施的技术依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 30976.2-2014 工业控制系统信息安全 第2部分：验收规范
国家质量监督检验检疫总局、国家标准化管理委员会2014年7月16日经国家标准公告2014年第19号发布，2015年2月1日实施。该标准规定工业控制系统信息安全第二部分验收规范，明确工控系统信息安全建设项目的验收条件、测试内容与判定要求，是工控安全工程验收的依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 31308.1-2014 商业、工业和行政的过程、数据元和单证 长效签名规范 第1部分：CMS高级电子签名（CAdES）的长效签名规范
国家质量监督检验检疫总局、国家标准化管理委员会2014年12月15日经国家标准公告2014年第27号发布，2015年4月15日实施。该标准规定长效签名规范第一部分 CMS 高级电子签名（CAdES）的长效签名规范，明确电子签名长期有效性验证所需的时间戳与证书信息保存要求，为电子文件长期可信提供技术保障。
GB/T 18336.1-2015 信息技术 安全技术 信息技术安全评估准则 第1部分：简介和一般模型
国家质量监督检验检疫总局、国家标准化管理委员会2015年5月15日经国家标准公告2015年第15号发布，2016年1月1日实施。该标准等同采用 ISO/IEC 15408 第一部分，规定信息技术安全评估准则的简介和一般模型，确立安全功能与安全保证组件的评估框架，是信息技术产品安全测评的基础准则。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 32399-2015 信息技术 云计算 参考架构
国家质量监督检验检疫总局、国家标准化管理委员会2015年12月31日经国家标准公告2015年第43号发布，2017年1月1日实施。该标准等同采用 ISO/IEC 17789，规定云计算参考架构，明确云角色、云活动与功能组件的构成关系，是云计算系统设计、服务交付与标准化工作的架构依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 32400-2015 信息技术 云计算 概览与词汇
国家质量监督检验检疫总局、国家标准化管理委员会2015年12月31日经国家标准公告2015年第43号发布，2017年1月1日实施。该标准规定云计算概览与词汇，统一云计算领域的概念、服务模式与部署模式术语定义，为云计算标准编制与产业交流提供用语基础。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 32905-2016 信息安全技术 SM3密码杂凑算法
国家质量监督检验检疫总局、国家标准化管理委员会2016年8月29日经国家标准公告2016年第14号发布，2017年3月1日实施。该标准规定 SM3 密码杂凑算法，明确算法的运算过程、填充规则与输出摘要长度，是我国自主设计的商用密码杂凑算法，为数据完整性校验与数字签名提供核心算法支撑。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 32907-2016 信息安全技术 SM4分组密码算法
国家质量监督检验检疫总局、国家标准化管理委员会2016年8月29日经国家标准公告2016年第14号发布，2017年3月1日实施。该标准规定 SM4 分组密码算法，明确算法的轮函数、密钥扩展与加解密流程，是我国自主设计的商用分组密码算法，广泛应用于数据加密与传输保护场景。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 32918.1-2016 信息安全技术 SM2椭圆曲线公钥密码算法 第1部分：总则
国家质量监督检验检疫总局、国家标准化管理委员会2016年8月29日经国家标准公告2016年第14号发布，2017年3月1日实施。该标准为 SM2 椭圆曲线公钥密码算法第一部分总则，规定算法的参数、数学基础与总体要求，是我国自主公钥密码算法体系的基础性标准。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 32918.2-2016 信息安全技术 SM2椭圆曲线公钥密码算法 第2部分：数字签名算法
国家质量监督检验检疫总局、国家标准化管理委员会2016年8月29日经国家标准公告2016年第14号发布，2017年3月1日实施。该标准为 SM2 椭圆曲线公钥密码算法第二部分数字签名算法，规定签名生成与验证流程及参数要求，为电子签名与身份认证提供国密算法支撑。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 33133.1-2016 信息安全技术 祖冲之序列密码算法 第1部分：算法描述
国家质量监督检验检疫总局、国家标准化管理委员会2016年10月13日经国家标准公告2016年第17号发布，2017年5月1日实施。该标准规定祖冲之序列密码算法第一部分算法描述，明确算法结构、初始化与密钥流生成过程，是我国自主设计的序列密码算法，适用于移动通信等场景加密保护。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 32923-2016 信息技术 安全技术 信息安全治理
国家质量监督检验检疫总局、国家标准化管理委员会2016年8月29日经国家标准公告2016年第14号发布，2017年3月1日实施。该标准规定信息安全治理要求，明确组织信息安全治理的原则、责任分配与绩效评价机制，指导决策层建立信息安全治理架构。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，对提升整体安全防护水平与风险防控能力具有积极作用
GB/T 32924-2016 信息安全技术 网络安全预警指南
国家质量监督检验检疫总局、国家标准化管理委员会2016年8月29日经国家标准公告2016年第14号发布，2017年3月1日实施。该标准规定网络安全预警指南，明确预警分级、信息发布与响应联动要求，为网络安全威胁预警与通报处置提供工作依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，对提升整体安全防护水平与风险防控能力具有积极作用
GB/T 32926-2016 信息安全技术 政府部门信息技术服务外包信息安全管理规范
国家质量监督检验检疫总局、国家标准化管理委员会2016年8月29日经国家标准公告2016年第14号发布，2017年3月1日实施。该标准规定政府部门信息技术服务外包信息安全管理规范，明确外包活动中的安全责任、人员管理与数据保护要求，是政务外包场景下数据与信息安全管理的重要依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。
GB/T 32927-2016 信息安全技术 移动智能终端安全架构
国家质量监督检验检疫总局、国家标准化管理委员会2016年8月29日经国家标准公告2016年第14号发布，2017年3月1日实施。该标准规定移动智能终端安全架构，明确终端硬件、操作系统与应用层的安全能力要求，是移动终端安全防护设计与检测的基础标准。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 33134-2016 信息安全技术 公共域名服务系统安全要求
国家质量监督检验检疫总局、国家标准化管理委员会2016年10月13日经国家标准公告2016年第17号发布，2017年5月1日实施。该标准规定公共域名服务系统安全要求，明确域名解析系统的安全防护、监测响应与运行管理要求，是保障域名基础设施安全的重要标准。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 32919-2016 信息安全技术 工业控制系统安全控制应用指南
国家质量监督检验检疫总局、国家标准化管理委员会2016年8月29日经国家标准公告2016年第14号发布，2017年3月1日实施。该标准规定工业控制系统安全控制应用指南，给出工控系统安全控制措施的选择与实施建议，指导工业企业提升工控系统安全防护能力。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 46798-2025 网络安全技术 标识密码认证系统密码及其相关安全技术要求
国家市场监督管理总局、国家标准化管理委员会2025年12月2日经国家标准公告2025年第33号发布，2026年7月1日实施。该标准规定标识密码认证系统的密码及其相关安全技术要求，明确标识密码算法应用、密钥管理与安全接口要求，是标识密码技术合规应用与产品检测的依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 45940-2025 网络安全技术 网络安全运维实施指南
国家市场监督管理总局、国家标准化管理委员会2025年8月1日经国家标准公告2025年第19号发布，2026年2月1日实施。该标准规定网络安全运维实施指南，明确安全运维的组织、流程、工具与考核要求，指导组织建立规范化、可度量的网络安全运维体系。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，适用于相关系统的规划、设计、建设与运维全过程
GB/T 46885-2025 数字化供应链 通用安全要求
国家市场监督管理总局、国家标准化管理委员会2025年12月31日经国家标准公告2025年第38号发布，2026年4月1日实施。该标准规定数字化供应链通用安全要求，明确供应链各环节的数据安全、信息共享与风险管控要求，为供应链数字化场景下的安全治理提供依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 25068.6-2025 信息技术 安全技术 网络安全 第6部分：无线网络访问安全
国家市场监督管理总局、国家标准化管理委员会2025年12月2日经国家标准公告2025年第33号发布，2026年7月1日实施。该标准为信息技术安全技术网络安全第六部分，规定无线网络访问安全要求，明确无线接入认证、加密传输与入侵防护等技术与管理措施。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 25068.7-2025 信息技术 安全技术 网络安全 第7部分：网络虚拟化安全
国家市场监督管理总局、国家标准化管理委员会2025年12月2日经国家标准公告2025年第33号发布，2026年7月1日实施。该标准为信息技术安全技术网络安全第七部分，规定网络虚拟化安全要求，明确虚拟网络隔离、虚拟交换机安全与资源管控要求。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，对提升整体安全防护水平与风险防控能力具有积极作用
GB/T 45279.1-2025 IPv4/IPv6网络安全防护技术规范 第1部分：IP承载网
国家市场监督管理总局、国家标准化管理委员会2025年2月28日经国家标准公告2025年第4号发布，2025年6月1日实施。该标准为 IPv4/IPv6 网络安全防护技术规范第一部分，规定 IP 承载网的安全防护要求，明确路由安全、流量监测与攻击防护措施。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，可与相关管理制度与技术措施配套使用
GB/T 19713-2025 网络安全技术 公钥基础设施 在线证书状态协议
国家市场监督管理总局、国家标准化管理委员会2025年2月28日经国家标准公告2025年第4号发布，2025年9月1日实施。该标准规定公钥基础设施在线证书状态协议，明确证书状态查询的请求响应格式与处理规则，为实时验证数字证书有效性提供技术依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，适用于相关系统的规划、设计、建设与运维全过程
GB/T 19714-2025 网络安全技术 公钥基础设施 证书管理协议
国家市场监督管理总局、国家标准化管理委员会2025年8月1日经国家标准公告2025年第19号发布，2026年2月1日实施。该标准规定公钥基础设施证书管理协议，明确证书申请、更新与撤销等管理操作的消息流程与安全要求，支撑 PKI 系统互联互通。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，适用于相关系统的规划、设计、建设与运维全过程
GB/T 20520-2025 网络安全技术 公钥基础设施 时间戳规范
国家市场监督管理总局、国家标准化管理委员会2025年8月1日经国家标准公告2025年第19号发布，2026年2月1日实施。该标准规定公钥基础设施时间戳规范，明确时间戳的签发流程、令牌格式与安全要求，为数据电文时间证明与抗抵赖服务提供更新版技术依据。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，是相关领域开展合规建设与能力评价的重要参考
GB/T 45906.4-2025 变电站二次系统 第4部分：网络安全防护
国家市场监督管理总局、国家标准化管理委员会2025年8月1日经国家标准公告2025年第19号发布，2026年2月1日实施。该标准为变电站二次系统第四部分，规定网络安全防护要求，明确电力二次系统的安全分区、边界防护与监测审计要求。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，对提升整体安全防护水平与风险防控能力具有积极作用
GB/T 46933.2-2025 智能工厂安全一体化 第2部分：风险评估要求
国家市场监督管理总局、国家标准化管理委员会2025年12月31日经国家标准公告2025年第38号发布，2026年7月1日实施。该标准为智能工厂安全一体化第二部分，规定风险评估要求，明确智能工厂功能安全与信息安全融合风险评估的方法与判定准则。该标准为单位网络安全建设、合规自查与第三方测评提供技术依据。，对提升整体安全防护水平与风险防控能力具有积极作用
GB 35114-2017 公共安全视频监控联网信息安全技术要求
国家质量监督检验检疫总局、国家标准化管理委员会2017年11月1日经国家标准公告2017年第29号发布，2018年11月1日实施。该标准为强制性国家标准，规定公共安全视频监控联网系统的信息安全技术要求，明确前端设备与平台间的身份鉴别、视频数据签名与加密、访问控制及安全管理要求，并按安全等级划分防护强度。其出台直指视频监控联网中的身份冒用与数据篡改风险，公共场所图像采集合规价值突出。
GB/T 35275-2017 信息安全技术 SM2密码算法加密签名消息语法规范
国家质量监督检验检疫总局、国家标准化管理委员会2017年12月29日经国家标准公告2017年第32号发布，2018年7月1日实施。该标准规定基于SM2密码算法的加密签名消息语法规范，明确签名数据、加密数据与密钥信息的编码结构及处理流程，实现国密算法在电子签名与数据加密场景中的规范化应用。是商用密码应用安全性评估与电子认证服务合规的重要配套标准。
GB/T 35276-2017 信息安全技术 SM2密码算法使用规范
国家质量监督检验检疫总局、国家标准化管理委员会2017年12月29日经国家标准公告2017年第32号发布，2018年7月1日实施。该标准规定SM2椭圆曲线公钥密码算法的使用规范，明确密钥对生成、数字签名与验证、公钥加密与解密的实现要求及参数选择，指导国密算法在各类信息系统中的正确部署。是落实密码法、推进商用密码应用与密评工作的核心技术标准。
GB/T 35285-2017 信息安全技术 公钥基础设施 基于数字证书的可靠电子签名生成及验证技术要求
国家质量监督检验检疫总局、国家标准化管理委员会2017年12月29日经国家标准公告2017年第32号发布，2018年7月1日实施。该标准规定基于数字证书的可靠电子签名生成及验证的技术要求，明确签名生成环境、证书有效性验证、签名数据格式与时间戳要求，支撑电子签名的法律效力认定。与电子签名法关于可靠电子签名的规定相衔接，是电子合同合规的技术基础。
GB/T 35278-2017 信息安全技术 移动终端安全保护技术要求
国家质量监督检验检疫总局、国家标准化管理委员会2017年12月29日经国家标准公告2017年第32号发布，2018年7月1日实施。该标准规定移动终端安全保护技术要求，从硬件、操作系统、应用软件与外围接口层面提出安全功能要求，涵盖身份鉴别、访问控制、数据保护与远程管理等内容。适用于移动终端设计、生产与检测，是移动办公与移动应用安全的重要基线。
GB/T 35279-2017 信息安全技术 云计算安全参考架构
国家质量监督检验检疫总局、国家标准化管理委员会2017年12月29日经国家标准公告2017年第32号发布，2018年7月1日实施。该标准给出云计算安全参考架构，界定云服务提供者、云服务客户与云服务合作方的角色与安全职责，明确云安全治理、运行安全、数据安全与服务安全的能力要求。是云服务安全评估与云上数据保护责任划分的框架性标准。
GB/T 35282-2017 信息安全技术 电子政务移动办公系统安全技术规范
国家质量监督检验检疫总局、国家标准化管理委员会2017年12月29日经国家标准公告2017年第32号发布，2018年7月1日实施。该标准规定电子政务移动办公系统的安全技术规范，明确移动终端、接入区、应用区与服务区的安全技术要求，覆盖身份鉴别、传输加密、数据保护与审计溯源。是政务移动办公平台建设与安全审查的重要技术依据。对政务数据出域与移动化处理场景的安全管控具有直接指导意义。
GB/T 34942-2017 信息安全技术 云计算服务安全能力评估方法
国家质量监督检验检疫总局、国家标准化管理委员会2017年11月1日经国家标准公告2017年第29号发布，2018年5月1日实施。该标准规定云计算服务安全能力评估方法，从系统开发与供应链、系统与通信保护、访问控制、配置管理、维护与应急响应等方面给出评估指标与实施方法。是党政部门云计算服务安全审查的配套评估方法标准。为云服务采购方开展第三方安全评估提供可操作工具。
GB/T 34953.1-2017 信息技术 安全技术 匿名实体鉴别 第1部分：总则
国家质量监督检验检疫总局、国家标准化管理委员会2017年11月1日经国家标准公告2017年第29号发布，2018年5月1日实施。该标准为信息技术安全技术匿名实体鉴别的第一部分，给出匿名实体鉴别的总则与框架，规定在不泄露实体真实身份前提下完成身份确认的机制与安全要求。为隐私保护导向的身份认证系统设计提供标准化方法。对匿名凭证、隐私计算等场景具有基础性参考价值。
GB/T 34975-2017 信息安全技术 移动智能终端应用软件安全技术要求和测试评价方法
国家质量监督检验检疫总局、国家标准化管理委员会2017年11月1日经国家标准公告2017年第29号发布，2018年5月1日实施。该标准规定移动智能终端应用软件的安全技术要求和测试评价方法，涵盖软件来源可信、权限控制、敏感数据采集与传输、恶意行为防范等要求。是App安全检测、应用商店审核与个人信息保护监管的重要技术依据。为移动应用开发者落实最小必要原则提供具体指引。
GB/T 34977-2017 信息安全技术 移动智能终端数据存储安全技术要求与测试评价方法
国家质量监督检验检疫总局、国家标准化管理委员会2017年11月1日经国家标准公告2017年第29号发布，2018年5月1日实施。该标准规定移动智能终端数据存储安全技术要求与测试评价方法，明确终端本地数据的加密存储、访问控制、安全擦除与备份恢复要求，防范终端丢失导致的数据泄露。与终端应用软件、操作系统安全标准共同构成移动智能终端安全标准体系。
GB/T 34095-2017 信息安全技术 用于电子支付的基于近距离无线通信的移动终端安全技术要求
国家质量监督检验检疫总局、国家标准化管理委员会2017年7月31日经国家标准公告2017年第20号发布，2018年2月1日实施。该标准规定用于电子支付的基于近距离无线通信的移动终端安全技术要求，明确支付应用、安全单元与近场通信接口的安全机制，防范支付过程中的身份冒用与数据窃取。是移动支付业务合规与支付终端检测认证的重要技术依据。
GB/T 35317-2017 公安物联网系统信息安全等级保护要求
国家质量监督检验检疫总局、国家标准化管理委员会2017年12月29日经国家标准公告2017年第32号发布，2017年12月29日实施。该标准规定公安物联网系统的信息安全等级保护要求，明确公安物联网在感知层、网络层与应用层的安全技术要求及管理要求，并按保护等级提出分档指标。是公安视频与物联感知网络建设的重要安全标准。为公共安全数据采集与共享的合规边界提供技术参考。
GB/Z 24294.1-2018 信息安全技术 基于互联网电子政务信息安全实施指南 第1部分：总则
国家市场监督管理总局、国家标准化管理委员会2018年3月15日经国家标准公告2018年第3号发布，2018年10月1日实施。该指导性技术文件给出基于互联网的电子政务信息安全实施指南总则，明确电子政务系统在网络安全、主机安全、应用安全与数据安全方面的实施要求。是电子政务系统安全建设与安全检查的重要指导文件。对政务数据对外服务场景的安全防护具有参考价值。
GB/T 20518-2018 信息安全技术 公钥基础设施 数字证书格式
国家市场监督管理总局、国家标准化管理委员会2018年6月7日经国家标准公告2018年第9号发布，2019年1月1日实施。该标准规定公钥基础设施中数字证书的基本格式，明确证书字段构成、扩展项定义与编码规则，支撑数字证书的互认互通与电子签名有效性验证。是电子认证服务与PKI系统建设的基础性标准。为身份鉴别、电子签章等可信应用提供格式依据。
GB/T 25056-2018 信息安全技术 证书认证系统密码及其相关安全技术规范
国家市场监督管理总局、国家标准化管理委员会2018年6月7日经国家标准公告2018年第9号发布，2019年1月1日实施。该标准规定证书认证系统密码及其相关安全技术规范，明确密钥管理、密码算法使用、证书签发与鉴权的安全要求，保障电子认证系统自身的安全性。是电子认证服务机构建设与密码应用安全性评估的重要依据。对数字证书全生命周期安全管理具有强制约束意义。
GB/T 36323-2018 信息安全技术 工业控制系统安全管理基本要求
国家市场监督管理总局、国家标准化管理委员会2018年6月7日经国家标准公告2018年第9号发布，2019年1月1日实施。该标准规定工业控制系统安全管理基本要求，明确工业互联网环境下工控系统的安全管理组织、制度、人员与运行管理要求，覆盖资产生命周期安全管控。是工控系统运营单位落实网络安全等级保护的管理基础。对关键信息基础设施安全保护具有直接适用价值。
GB/T 36324-2018 信息安全技术 工业控制系统信息安全分级规范
国家市场监督管理总局、国家标准化管理委员会2018年6月7日经国家标准公告2018年第9号发布，2019年1月1日实施。该标准规定工业控制系统信息安全分级规范，给出工控系统按重要程度分级的方法与各级别对应的安全要求，实现差异化防护与精准投入。是工控系统安全防护建设与监督检查的重要分级依据。为关键信息基础设施识别与保护提供技术支撑。
GB/T 36466-2018 信息安全技术 工业控制系统风险评估实施指南
国家市场监督管理总局、国家标准化管理委员会2018年6月7日经国家标准公告2018年第9号发布，2019年1月1日实施。该标准给出工业控制系统风险评估实施指南，规定风险评估的准备、识别、分析、评价与处置流程，覆盖工控系统资产、威胁、脆弱性与已有措施分析。是工控系统运营单位开展年度风险评估的方法学依据。与关键信息基础设施安全保护要求形成配套。
GB/T 36627-2018 信息安全技术 网络安全等级保护测试评估技术指南
国家市场监督管理总局、国家标准化管理委员会2018年9月17日经国家标准公告2018年第11号发布，2019年4月1日实施。该标准给出网络安全等级保护测试评估技术指南，规定等级测评的测试内容、测试方法与技术要求，覆盖物理环境、网络、主机、应用与数据安全。是等级保护测评实施与测评报告编制的技术依据。对第三级以上系统年度测评具有直接指导意义。
GB/T 36631-2018 信息安全技术 时间戳策略和时间戳业务操作规则
国家市场监督管理总局、国家标准化管理委员会2018年9月17日经国家标准公告2018年第11号发布，2019年4月1日实施。该标准规定时间戳策略和时间戳业务操作规则，明确时间戳机构的策略要求、时间戳签发与验证流程以及业务运营管理规范，保障数据电文时间属性的可信证明。是电子证据固化、电子合同与数据存证合规的技术基础。为抗抵赖与时间属性证明提供标准化操作规范。
GB/T 36633-2018 信息安全技术 网络用户身份鉴别技术指南
国家市场监督管理总局、国家标准化管理委员会2018年9月17日经国家标准公告2018年第11号发布，2019年4月1日实施。该标准给出网络用户身份鉴别技术指南，明确网络环境下用户身份鉴别的方式选择、强度分级与实现要求，覆盖口令、生物特征、多因素鉴别等方式。是网络实名制与身份鉴别合规的重要技术指引。为账号实名认证与防冒用设计提供分级实施方法。
GB/T 36639-2018 信息安全技术 可信计算规范 服务器可信支撑平台
国家市场监督管理总局、国家标准化管理委员会2018年9月17日经国家标准公告2018年第11号发布，2019年4月1日实施。该标准规定可信计算规范服务器可信支撑平台的技术要求，明确可信根、可信度量与可信报告机制，构建服务器端的主动免疫防护能力。是可信计算3.0在服务器领域落地的核心标准。为关键信息基础设施主动防御体系建设提供依据。
GB/T 36629.1-2018 信息安全技术 公民网络电子身份标识安全技术要求 第1部分：读写机具安全技术要求
国家市场监督管理总局、国家标准化管理委员会2018年10月10日经国家标准公告2018年第13号发布，2019年5月1日实施。该标准规定公民网络电子身份标识读写机具的安全技术要求，明确机具的身份鉴别、密钥管理、数据保护与接口安全要求，保障网络身份标识读写的可靠性。是网络身份认证与网号网证体系建设的重要配套标准。对减少明文身份信息采集具有积极合规价值。
GB/T 36629.2-2018 信息安全技术 公民网络电子身份标识安全技术要求 第2部分：载体安全技术要求
国家市场监督管理总局、国家标准化管理委员会2018年10月10日经国家标准公告2018年第13号发布，2019年5月1日实施。该标准规定公民网络电子身份标识载体的安全技术要求，明确载体的物理安全、逻辑安全、密钥存储与生命周期管理要求，防止身份标识被复制或冒用。是网络身份标识载体选型与检测认证的技术依据。与读写机具、格式规范标准共同构成网络身份标准体系。
GB/T 36632-2018 信息安全技术 公民网络电子身份标识格式规范
国家市场监督管理总局、国家标准化管理委员会2018年10月10日经国家标准公告2018年第13号发布，2019年5月1日实施。该标准规定公民网络电子身份标识的格式规范，统一身份标识的数据结构、编码规则与字段定义，实现跨系统、跨行业的网络身份互认互通。是网络可信身份体系建设的基础性格式标准。为替代明文身份信息认证、减少过度采集提供支撑。
GB/T 36637-2018 信息安全技术 ICT供应链安全风险管理指南
国家市场监督管理总局、国家标准化管理委员会2018年10月10日经国家标准公告2018年第13号发布，2019年5月1日实施。该标准给出ICT供应链安全风险管理指南，明确ICT供应链各环节的安全风险识别、评估与处置方法，覆盖采购、开发、交付与运维全过程。是关键信息基础设施供应链安全管理的指导性标准。为信息技术产品安全可控评价与采购审查提供参考。
GB/T 36643-2018 信息安全技术 网络安全威胁信息格式规范
国家市场监督管理总局、国家标准化管理委员会2018年10月10日经国家标准公告2018年第13号发布，2019年5月1日实施。该标准规定网络安全威胁信息的格式规范，统一威胁信息的描述模型、字段定义与交换格式，支撑威胁情报在不同系统间的共享与联动处置。是威胁情报共享与网络安全态势感知建设的基础标准。为安全运营中心的情报接入与自动化响应提供依据。
GB/T 28449-2018 信息安全技术 网络安全等级保护测评过程指南
国家市场监督管理总局、国家标准化管理委员会2018年12月28日经国家标准公告2018年第17号发布，2019年7月1日实施。该标准规定网络安全等级保护测评过程指南，明确测评准备、方案编制、现场测评与报告编制四个阶段的测评活动与工作要求。是等级保护测评机构规范开展测评的过程性依据。与测评要求、测评机构能力要求标准配套使用。
GB/T 36951-2018 信息安全技术 物联网感知终端应用安全技术要求
国家市场监督管理总局、国家标准化管理委员会2018年12月28日经国家标准公告2018年第17号发布，2019年7月1日实施。该标准规定物联网感知终端应用安全技术要求，明确感知终端的身份鉴别、访问控制、数据保护、固件安全与日志审计要求，防范终端被劫持与数据被篡改。是物联网终端安全设计与检测认证的重要技术依据。对智能家居、车联网等场景的终端合规具有参考价值。
GB/T 36958-2018 信息安全技术 网络安全等级保护安全管理中心技术要求
国家市场监督管理总局、国家标准化管理委员会2018年12月28日经国家标准公告2018年第17号发布，2019年7月1日实施。该标准规定网络安全等级保护安全管理中心技术要求，明确安全管理集中管控平台的系统管理、审计管理、安全管理员三权分立与集中管控功能要求。是第三级以上系统建设安全管理中心的核心依据。为落实等级保护集中管控要求提供技术实现规范。
GB/T 36959-2018 信息安全技术 网络安全等级保护测评机构能力要求和评估规范
国家市场监督管理总局、国家标准化管理委员会2018年12月28日经国家标准公告2018年第17号发布，2019年7月1日实施。该标准规定网络安全等级保护测评机构的能力要求和评估规范，明确测评机构的组织、人员、设备、管理与质量保证要求及评估方法。是等级保护测评机构遴选与监督管理的重要依据。对规范测评市场、保证测评质量具有制度性作用。
GB/T 37025-2018 信息安全技术 物联网数据传输安全技术要求
国家市场监督管理总局、国家标准化管理委员会2018年12月28日经国家标准公告2018年第17号发布，2019年7月1日实施。该标准规定物联网数据传输安全技术要求，明确感知层与网络层之间数据传输的机密性、完整性、可用性保护要求与密钥管理机制。是物联网系统数据传输环节安全建设的技术依据。对车联网、工业互联网等场景的数据安全具有指导意义。
GB/T 37044-2018 信息安全技术 物联网安全参考模型及通用要求
国家市场监督管理总局、国家标准化管理委员会2018年12月28日经国家标准公告2018年第17号发布，2019年7月1日实施。该标准给出物联网安全参考模型及通用要求，界定物联网系统的层次结构与安全角色，提出各层次的安全防护要求与通用安全能力指标。是物联网安全标准体系的顶层框架标准。为物联网安全规划、建设与评估提供统一参照。
GB/T 37092-2018 信息安全技术 密码模块安全要求
国家市场监督管理总局、国家标准化管理委员会2018年12月28日经国家标准公告2018年第17号发布，2019年7月1日实施。该标准规定密码模块安全要求，明确密码模块的安全等级、安全功能与安全保障要求，覆盖密钥管理、密码运算、物理安全与非侵入式攻击防护。是密码产品研制、检测与商用密码应用安全性评估的核心标准。为密码模块选型与采购提供安全等级判定依据。
GB/T 25070-2019 信息安全技术 网络安全等级保护安全设计技术要求
国家市场监督管理总局、国家标准化管理委员会2019年5月10日经国家标准公告2019年第6号发布，2019年12月1日实施。该标准规定网络安全等级保护安全设计技术要求，明确不同等级系统在安全物理环境、通信网络、区域边界与计算环境方面的设计技术要求。是等级保护对象建设整改与安全方案设计的核心依据。为第三级以上系统的安全设计提供分等级技术指导。
GB/T 28448-2019 信息安全技术 网络安全等级保护测评要求
国家市场监督管理总局、国家标准化管理委员会2019年5月10日经国家标准公告2019年第6号发布，2019年12月1日实施。该标准规定网络安全等级保护测评要求，明确各等级系统在技术与管理层面的测评指标、测评方法与结果判定规则，是等级测评的核心技术标准。与测评过程指南、安全设计技术要求共同构成等保标准体系。是监管部门开展等级保护监督检查的主要技术依据。
GB/T 25058-2019 信息安全技术 网络安全等级保护实施指南
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准给出网络安全等级保护实施指南，明确等级保护实施的定级、备案、建设整改、等级测评与监督检查五个阶段的工作要求与方法。是运营使用单位组织开展等级保护工作的方法学依据。覆盖系统全生命周期的等保实施流程与关键活动。
GB/T 37935-2019 信息安全技术 可信计算规范 可信软件基
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准规定可信计算规范可信软件基的技术要求，明确可信软件基的体系结构、功能模块与接口规范，支撑以软件基为核心的主动免疫防护体系。是可信计算3.0体系在软件层面的核心标准。为关键信息基础设施主动防御能力建设提供依据。
GB/T 37941-2019 信息安全技术 工业控制系统网络审计产品安全技术要求
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准规定工业控制系统网络审计产品的安全技术要求，明确审计数据的采集范围、审计分析能力、自身安全与管理要求，支撑工控系统行为溯源。是工控安全监测与事件溯源能力建设的重要依据。对关键信息基础设施安全监测预警具有实用价值。
GB/T 37952-2019 信息安全技术 移动终端安全管理平台技术要求
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准规定移动终端安全管理平台的技术要求，明确平台对移动终端的设备管理、应用管理、数据保护与远程管控能力要求。是企业移动设备管理与移动办公安全管控的重要依据。适用于自带设备办公与移动业务系统安全防护。
GB/T 37953-2019 信息安全技术 工业控制网络监测安全技术要求及测试评价方法
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准规定工业控制网络监测的安全技术要求及测试评价方法，明确监测系统的流量采集、协议解析、异常检测与告警能力要求。是工控网络态势感知与异常行为发现的技术依据。为关键信息基础设施运营者建设监测平台提供规范。
GB/T 37962-2019 信息安全技术 工业控制系统产品信息安全通用评估准则
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准规定工业控制系统产品的信息安全通用评估准则，明确评估对象、安全功能要求与保障要求及评估方法，支撑工控产品安全测评。是工控产品安全认证与采购选型的重要评估依据。对关键信息基础设施供应链安全审查具有参考价值。
GB/T 37972-2019 信息安全技术 云计算服务运行监管框架
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准给出云计算服务运行监管框架，明确云服务运行监管的角色、活动内容与数据接口要求，支撑对云服务持续运行状态的动态监管。是党政部门云计算服务安全持续监管的配套标准。为云服务客户行使监督权提供标准化实现路径。
GB/T 37980-2019 信息安全技术 工业控制系统安全检查指南
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准给出工业控制系统安全检查指南，规定检查内容、检查方法与结果处置要求，覆盖工控系统的安全管理、技术防护与应急能力。是工控系统运营单位与监管部门开展安全检查的依据。对关键信息基础设施年度检查具有直接适用价值。
GB/T 20272-2019 信息安全技术 操作系统安全技术要求
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准规定操作系统的安全技术要求，按安全保护等级提出身份鉴别、访问控制、安全审计、数据完整性与保密性等要求。是操作系统安全等级测评与安全产品检测的核心标准。为国产操作系统在关键信息基础设施中的应用提供安全基准。
GB/T 20009-2019 信息安全技术 数据库管理系统安全评估准则
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准规定数据库管理系统的安全评估准则，明确评估对象、安全功能要求与保障要求及其评估方法，支撑数据库产品安全测评。是数据库安全产品检测与等级评定的技术准则。对承载重要数据的数据库选型与合规评估具有参考价值。
GB/T 38249-2019 信息安全技术 政府网站云计算服务安全指南
国家市场监督管理总局、国家标准化管理委员会2019年10月18日经国家标准公告2019年第13号发布，2020年5月1日实施。该标准给出政府网站云计算服务安全指南，明确政府网站采用云计算服务时的安全责任划分、安全要求与监管要求。是政务网站集约化与上云过程中的安全合规依据。对政务云服务采购与安全审查具有直接指导意义。
GB/T 38318-2019 电力监控系统网络安全评估指南
国家市场监督管理总局、国家标准化管理委员会2019年12月10日经国家标准公告2019年第14号发布，2020年7月1日实施。该标准给出电力监控系统网络安全评估指南，明确评估内容、评估方法与风险判定准则，覆盖电力监控系统的结构安全与本体安全。是电力行业关键信息基础设施安全评估的重要依据。为电力监控系统年度安全评估提供标准化方法。
GB/T 22240-2020 信息安全技术 网络安全等级保护定级指南
国家市场监督管理总局、国家标准化管理委员会2020年4月28日经国家标准公告2020年第8号发布，2020年11月1日实施。该标准规定网络安全等级保护的定级指南，明确等级保护对象的定级要素、定级流程与等级确定方法，是等级保护工作的首要环节依据。定级结果直接决定后续建设整改与测评的等级要求。对运营者准确识别重要系统与重要数据具有基础作用。
GB/T 38635.1-2020 信息安全技术 SM9标识密码算法 第1部分：总则
国家市场监督管理总局、国家标准化管理委员会2020年4月28日经国家标准公告2020年第8号发布，2020年11月1日实施。该标准为SM9标识密码算法的第一部分，给出总则，明确SM9算法的体系结构与应用场景，支撑基于标识的密钥管理与密码运算。SM9是我国自主设计的标识密码算法，无需证书即可完成加密与签名。为商用密码应用与密评提供国产算法选择。
GB/T 38635.2-2020 信息安全技术 SM9标识密码算法 第2部分：算法
国家市场监督管理总局、国家标准化管理委员会2020年4月28日经国家标准公告2020年第8号发布，2020年11月1日实施。该标准为SM9标识密码算法的第二部分，规定算法的数学基础、参数选择与数字签名、密钥交换、公钥加密的具体实现。是SM9算法产品开发与检测认证的技术依据。与总则部分配套支撑国产标识密码的规模化应用。
GB/T 38636-2020 信息安全技术 传输层密码协议（TLCP）
国家市场监督管理总局、国家标准化管理委员会2020年4月28日经国家标准公告2020年第8号发布，2020年11月1日实施。该标准规定传输层密码协议TLCP的技术要求，明确握手协议、记录层协议与密码套件，支撑基于国密算法的传输层安全通信。是我国自主可控传输层密码协议的核心标准。为关键信息基础设施替代国际传输加密协议提供依据。
GB/T 38638-2020 信息安全技术 可信计算 可信计算体系结构
国家市场监督管理总局、国家标准化管理委员会2020年4月28日经国家标准公告2020年第8号发布，2020年11月1日实施。该标准给出可信计算的体系结构，明确可信计算节点的组成、可信根与信任链传递机制，构建主动免疫的计算环境。是可信计算3.0体系的基础架构标准。为关键信息基础设施主动防御体系建设提供顶层设计。
GB/T 38645-2020 信息安全技术 网络安全事件应急演练指南
国家市场监督管理总局、国家标准化管理委员会2020年4月28日经国家标准公告2020年第8号发布，2020年11月1日实施。该标准给出网络安全事件应急演练指南，明确演练的组织、准备、实施与总结改进要求，覆盖事件发现、研判、处置与恢复。是运营者检验与提升网络安全应急响应能力的依据。对应急预案有效性验证与演练常态化具有指导意义。
GB/T 38674-2020 信息安全技术 应用软件安全编程指南
国家市场监督管理总局、国家标准化管理委员会2020年4月28日经国家标准公告2020年第8号发布，2020年11月1日实施。该标准给出应用软件安全编程指南，明确应用软件在输入验证、身份认证、会话管理、数据保护与错误处理等方面的安全编码要求。是开发人员落实安全开发生命周期的实用指导标准。对减少代码层安全漏洞与数据泄露风险具有基础作用。
GB/T 38628-2020 信息安全技术 汽车电子系统网络安全指南
国家市场监督管理总局、国家标准化管理委员会2020年4月28日经国家标准公告2020年第8号发布，2020年11月1日实施。该标准给出汽车电子系统的网络安全指南，明确汽车电子电气架构下的网络安全威胁分析、安全防护设计与验证要求。是智能网联汽车网络安全建设的重要指导标准。为车企建立网络安全管理体系与型式认证提供参考。
GB/T 38540-2020 信息安全技术 安全电子签章密码技术规范
国家市场监督管理总局、国家标准化管理委员会2020年3月6日经国家标准公告2020年第1号发布，2020年10月1日实施。该标准规定安全电子签章的密码技术规范，明确电子印章与电子签章的数据结构、密码运算流程与验证方法，保障电子签章的法律效力。是电子印章与电子合同平台合规建设的技术依据。与电子签名法关于可靠电子签名的规定相衔接。
GB/T 38541-2020 信息安全技术 电子文件密码应用指南
国家市场监督管理总局、国家标准化管理委员会2020年3月6日经国家标准公告2020年第1号发布，2020年10月1日实施。该标准给出电子文件密码应用指南，明确电子文件在形成、传输、存储与归档环节的密码保护要求与实现方式。是电子文件管理与电子档案合规的重要密码应用标准。为电子文件的真实性、完整性与不可否认性提供技术保障。
GB/T 39720-2020 信息安全技术 移动智能终端安全技术要求及测试评价方法
国家市场监督管理总局、国家标准化管理委员会2020年12月14日经国家标准公告2020年第28号发布，2021年7月1日实施。该标准规定移动智能终端的安全技术要求及测试评价方法，覆盖硬件、操作系统、应用软件与用户数据保护等方面的综合安全要求。是移动智能终端安全检测与进网认证的核心标准。对终端预置应用管理与个人信息保护具有直接约束作用。
GB/T 39680-2020 信息安全技术 服务器安全技术要求和测评准则
国家市场监督管理总局、国家标准化管理委员会2020年12月14日经国家标准公告2020年第28号发布，2021年7月1日实施。该标准规定服务器的安全技术要求和测评准则，明确服务器在固件安全、身份鉴别、访问控制、可信计算与安全审计方面的要求。是服务器产品安全检测与采购选型的重要依据。为承载重要数据的服务器基础设施提供安全基准。
GB/T 30284-2020 信息安全技术 移动通信智能终端操作系统安全技术要求
国家市场监督管理总局、国家标准化管理委员会2020年4月28日经国家标准公告2020年第8号发布，2020年11月1日实施。该标准规定移动通信智能终端操作系统的安全技术要求，明确操作系统的安全架构、内核安全、权限管理与数据保护要求。是移动操作系统安全等级测评的重要技术依据。对国产移动操作系统的安全能力建设具有规范作用。
GB/T 39412-2020 信息安全技术 代码安全审计规范
国家市场监督管理总局、国家标准化管理委员会2020年11月19日经国家标准公告2020年第26号发布，2021年6月1日实施。该标准规定代码安全审计规范，明确源代码安全审计的内容、方法与风险判定准则，覆盖注入、越权、敏感信息泄露等常见缺陷。是企业开展安全开发与安全测试的重要方法标准。对上线前代码审计与合规自查具有实用价值。
GB/T 30279-2020 信息安全技术 网络安全漏洞分类分级指南
国家市场监督管理总局、国家标准化管理委员会2020年11月19日经国家标准公告2020年第26号发布，2021年6月1日实施。该标准规定网络安全漏洞的分类分级指南，明确漏洞的分类维度、分级指标与判定方法，支撑漏洞的规范化管理与风险排序。是产品安全漏洞管理规定配套的重要分级标准。为漏洞报送、披露与修复优先级排序提供统一标尺。
GB/T 25068.1-2020 信息技术 安全技术 网络安全 第1部分：综述和概念
国家市场监督管理总局、国家标准化管理委员会2020年11月19日经国家标准公告2020年第26号发布，2021年6月1日实施。该标准为信息技术安全技术网络安全的第一部分，给出综述和概念，界定网络安全的基本术语、概念模型与安全防护原则。是网络安全标准体系的基础性概念标准。为组织理解并规划网络安全防护提供统一语言。
GB/T 20261-2020 信息安全技术 系统安全工程 能力成熟度模型
国家市场监督管理总局、国家标准化管理委员会2020年11月19日经国家标准公告2020年第26号发布，2021年6月1日实施。该标准规定系统安全工程能力成熟度模型，明确安全工程过程的能力等级与评估方法，支持组织衡量和改进安全工程能力。是安全工程能力建设与第三方评估的模型化工具。与数据安全能力成熟度模型方法论互为补充。
GB/T 38626-2020 信息安全技术 智能联网设备口令保护指南
国家市场监督管理总局、国家标准化管理委员会2020年4月28日经国家标准公告2020年第8号发布，2020年11月1日实施。该标准给出智能联网设备的口令保护指南，明确设备口令的设置、存储、传输与重置要求，防范弱口令与默认口令风险。直指智能设备被批量控制与隐私泄露的主要成因。是智能家居与物联网设备安全合规的基础指引。
GB/T 38561-2020 信息安全技术 网络安全管理支撑系统技术要求
国家市场监督管理总局、国家标准化管理委员会2020年3月6日经国家标准公告2020年第1号发布，2020年10月1日实施。该标准规定网络安全管理支撑系统的技术要求，明确系统在资产管理、策略管理、事件管理与风险分析方面的功能要求。是安全运营中心与集中管控平台建设的技术依据。对安全管理中心落地与态势感知具有支撑作用。
GB/T 40645-2021 信息安全技术 互联网信息服务安全通用要求
国家市场监督管理总局、国家标准化管理委员会2021年10月11日经国家标准公告2021年第12号发布，2022年5月1日实施。该标准规定互联网信息服务的安全通用要求，明确服务提供者在身份核验、内容安全、数据保护、日志留存与应急处置方面的要求。是互联网信息服务合规与App治理的重要通用标准。与个人信息保护、算法推荐等监管要求形成配套。
GB/T 40650-2021 信息安全技术 可信计算规范 可信平台控制模块
国家市场监督管理总局、国家标准化管理委员会2021年10月11日经国家标准公告2021年第12号发布，2022年5月1日实施。该标准规定可信计算规范可信平台控制模块的技术要求，明确模块的功能、接口与安全要求，为可信根提供硬件载体支撑。是可信计算3.0体系在硬件层面的核心标准。为可信计算产品在关键信息基础设施中的应用提供依据。
GB/T 40651-2021 信息安全技术 实体鉴别保障框架
国家市场监督管理总局、国家标准化管理委员会2021年10月11日经国家标准公告2021年第12号发布，2022年5月1日实施。该标准给出实体鉴别保障框架，明确实体鉴别过程中的保障目标、保障等级与实现要求，支持鉴别强度的分级设计与评估。是网络身份鉴别体系设计与合规评估的框架标准。为实名认证与高安全业务鉴别强度选择提供参考。
GB/T 40652-2021 信息安全技术 恶意软件事件预防和处理指南
国家市场监督管理总局、国家标准化管理委员会2021年10月11日经国家标准公告2021年第12号发布，2022年5月1日实施。该标准给出恶意软件事件的预防和处理指南，明确恶意软件事件的检测、分析、处置与恢复流程，以及组织与制度保障要求。是运营者建设恶意代码防范与处置能力的实用指南。对勒索软件等事件的应急响应具有直接参考价值。
GB/T 40813-2021 信息安全技术 工业控制系统安全防护技术要求和测试评价方法
国家市场监督管理总局、国家标准化管理委员会2021年10月11日经国家标准公告2021年第12号发布，2022年5月1日实施。该标准规定工业控制系统的安全防护技术要求及测试评价方法，明确边界防护、身份认证、访问控制、安全监测与审计要求。是工控系统安全防护建设与检测评估的核心标准。与工控系统风险评估、检查指南形成完整配套。
GB/T 40218-2021 工业通信网络 网络和系统安全 工业自动化和控制系统信息安全技术
国家市场监督管理总局、国家标准化管理委员会2021年5月21日经国家标准公告2021年第7号发布，2021年12月1日实施。该标准规定工业通信网络网络和系统安全中工业自动化和控制系统的信息安全技术，明确分区分域、边界防护与安全通信要求。是工业自动化控制系统信息安全建设的技术依据。对智能制造场景的网络安全合规具有指导意义。
GB/T 33133.2-2021 信息安全技术 祖冲之序列密码算法 第2部分：保密性算法
国家市场监督管理总局、国家标准化管理委员会2021年10月11日经国家标准公告2021年第12号发布，2022年5月1日实施。该标准为祖冲之序列密码算法的第二部分，规定保密性算法的实现，明确算法结构、初始化与密钥流生成过程。祖冲之算法是我国自主设计的序列密码，已纳入国际标准。为移动通信与数据加密的国产密码应用提供算法依据。
GB/T 33133.3-2021 信息安全技术 祖冲之序列密码算法 第3部分：完整性算法
国家市场监督管理总局、国家标准化管理委员会2021年10月11日经国家标准公告2021年第12号发布，2022年5月1日实施。该标准为祖冲之序列密码算法的第三部分，规定完整性算法的实现，明确消息认证码的生成与验证过程及安全要求。与保密性算法配套，构成完整的国产序列密码体系。为通信数据完整性与抗篡改保护提供算法支撑。
GB/T 17964-2021 信息安全技术 分组密码算法的工作模式
国家市场监督管理总局、国家标准化管理委员会2021年10月11日经国家标准公告2021年第12号发布，2022年5月1日实施。该标准规定分组密码算法的工作模式，明确电码本、密码分组链接、计数器等模式的运算流程与适用场景，指导密码算法正确使用。是密码产品研制与商用密码应用安全性评估的基础标准。对避免因工作模式使用不当导致的数据泄露具有重要作用。
GB/T 20275-2021 信息安全技术 网络入侵检测系统技术要求和测试评价方法
国家市场监督管理总局、国家标准化管理委员会2021年10月11日经国家标准公告2021年第12号发布，2022年5月1日实施。该标准规定网络入侵检测系统的技术要求和测试评价方法，明确系统的数据采集、检测分析、响应与自身安全管理要求。是入侵检测产品检测认证与选型的技术依据。与安全监测、态势感知能力建设直接相关。
GB/T 29765-2021 信息安全技术 数据备份与恢复产品技术要求与测试评价方法
国家市场监督管理总局、国家标准化管理委员会2021年10月11日经国家标准公告2021年第12号发布，2022年5月1日实施。该标准规定数据备份与恢复产品的技术要求与测试评价方法，明确备份策略、恢复能力、数据完整性与安全存储要求。是数据备份恢复能力建设与产品选型的重要依据。对勒索攻击后的业务连续性与数据可恢复性至关重要。
GB/T 30272-2021 信息安全技术 公钥基础设施 标准符合性测评
国家市场监督管理总局、国家标准化管理委员会2021年10月11日经国家标准公告2021年第12号发布，2022年5月1日实施。该标准规定公钥基础设施的标准符合性测评，明确测评对象、测评内容与测评方法，支撑PKI系统及产品的标准符合性验证。是电子认证服务系统与密码产品合规性测评的依据。为PKI互信互认与安全审查提供技术支撑。
GB/T 40018-2021 信息安全技术 基于多信道的证书申请和应用协议
国家市场监督管理总局、国家标准化管理委员会2021年4月30日经国家标准公告2021年第5号发布，2021年11月1日实施。该标准规定基于多信道的证书申请和应用协议，明确通过多信道协同完成证书申请、下载与使用的流程与安全要求。提升证书申请环节的身份可信度与抗攻击能力。是电子认证服务安全增强的配套协议标准。
GB/T 40690-2021 信息技术 云计算 云际计算参考架构
国家市场监督管理总局、国家标准化管理委员会2021年10月11日经国家标准公告2021年第12号发布，2022年5月1日实施。该标准给出信息技术云计算云际计算的参考架构，明确多云环境下云服务间的协作、互操作与资源调度机制。是多云协同与跨云数据流转场景的架构标准。对云服务客户的数据可迁移性与供应链安全具有意义。
GB/T 41400-2022 信息安全技术 工业控制系统信息安全防护能力成熟度模型
国家市场监督管理总局、国家标准化管理委员会2022年4月15日经国家标准公告2022年第6号发布，2022年11月1日实施。该标准给出工业控制系统信息安全防护能力成熟度模型，按等级描述工控系统安全防护能力，明确各级别的能力特征与评价方法。是工控系统运营单位衡量安全防护水平的模型化工具。与关键信息基础设施安全保护要求形成配套。
GB/T 41388-2022 信息安全技术 可信执行环境 基本安全规范
国家市场监督管理总局、国家标准化管理委员会2022年4月15日经国家标准公告2022年第6号发布，2022年11月1日实施。该标准规定可信执行环境的基本安全规范，明确可信执行环境的隔离机制、安全启动、安全存储与安全服务要求。为敏感数据在可信域内处理提供硬件级隔离保障。是隐私计算与机密计算合规落地的重要基础标准。
GB/T 41387-2022 信息安全技术 智能家居通用安全规范
国家市场监督管理总局、国家标准化管理委员会2022年4月15日经国家标准公告2022年第6号发布，2022年11月1日实施。该标准规定智能家居的通用安全规范，明确智能家居设备、网关与云平台在身份鉴别、通信安全、数据保护与更新维护方面的要求。直指智能家居设备偷拍、窃听与数据泄露等突出风险。对家庭场景下个人信息与隐私保护具有直接价值。
GB/T 41389-2022 信息安全技术 SM9密码算法使用规范
国家市场监督管理总局、国家标准化管理委员会2022年4月15日经国家标准公告2022年第6号发布，2022年11月1日实施。该标准规定SM9密码算法使用规范，明确SM9算法在密钥生成、数字签名、密钥交换与公钥加密场景下的正确使用方式。是国产标识密码算法规模化应用的配套使用标准。为商用密码应用安全性评估提供算法实现依据。
GB/T 29829-2022 信息安全技术 可信计算密码支撑平台功能与接口规范
国家市场监督管理总局、国家标准化管理委员会2022年4月15日经国家标准公告2022年第6号发布，2022年11月1日实施。该标准规定可信计算密码支撑平台的功能与接口规范，明确可信密码模块的服务接口、密钥管理与密码服务调用要求。是可信计算与密码技术融合的核心接口标准。为可信计算产品的互操作与检测认证提供依据。
GB/T 20278-2022 信息安全技术 网络脆弱性扫描产品安全技术要求和测试评价方法
国家市场监督管理总局、国家标准化管理委员会2022年3月9日经国家标准公告2022年第2号发布，2022年10月1日实施。该标准规定网络脆弱性扫描产品的安全技术要求和测试评价方法，明确扫描能力、漏洞库要求、自身安全与报告要求。是脆弱性扫描产品检测认证与选型的技术依据。对企业常态化漏洞排查与风险评估具有实用价值。
GB/T 25068.3-2022 信息技术 安全技术 网络安全 第3部分：面向网络接入场景的威胁、设计技术和控制
国家市场监督管理总局、国家标准化管理委员会2022年10月12日经国家标准公告2022年第13号发布，2023年5月1日实施。该标准为信息技术安全技术网络安全的第三部分，规定面向网络接入场景的威胁、设计技术和控制措施，指导接入场景的安全设计。是网络接入安全设计与远程办公场景防护的实用标准。对零信任接入与边界防护建设具有参考价值。
GB/T 25068.4-2022 信息技术 安全技术 网络安全 第4部分：使用安全网关的网间通信安全保护
国家市场监督管理总局、国家标准化管理委员会2022年10月12日经国家标准公告2022年第13号发布，2023年5月1日实施。该标准为信息技术安全技术网络安全的第四部分，规定使用安全网关的网间通信安全保护要求与技术措施。是跨网域通信与网间隔离场景安全建设的技术依据。对政务内外网、生产网与办公网互联具有指导意义。
GB/Z 41288-2022 信息安全技术 重要工业控制系统网络安全防护导则
国家市场监督管理总局、国家标准化管理委员会2022年3月9日经国家标准公告2022年第2号发布，2022年10月1日实施。该指导性技术文件给出重要工业控制系统网络安全防护导则，明确重要工控系统的防护目标、防护框架与关键防护措施。是铁路、电力、石化等关键行业工控防护的指导文件。与关键信息基础设施安全保护条例要求直接衔接。
GB/Z 41290-2022 信息安全技术 移动互联网安全审计指南
国家市场监督管理总局、国家标准化管理委员会2022年3月9日经国家标准公告2022年第2号发布，2022年10月1日实施。该指导性技术文件给出移动互联网安全审计指南，明确移动互联网环境下安全审计的对象、内容、方法与管理要求。是移动互联网服务提供者建立安全审计能力的依据。对App违法违规收集个人信息的自查与整改具有价值。
GB/T 19771-2025 网络安全技术 公钥基础设施 PKI组件最小互操作规范
本标准于2025年8月发布、2026年2月1日实施，规定公钥基础设施各组件之间实现最小互操作所需的技术要求，解决不同厂商PKI产品互通难题。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 45279.2-2025 IPv4/IPv6网络安全防护技术规范 第2部分：移动通信网
本标准于2025年2月发布、同年6月1日实施，规定移动通信网在IPv4/IPv6环境下的网络安全防护技术要求，覆盖接入侧、核心网与业务平面的安全措施。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 45279.3-2025 IPv4/IPv6网络安全防护技术规范 第3部分：互联网数据中心
本标准于2025年2月发布、同年6月1日实施，规定互联网数据中心在IPv4/IPv6双栈环境下的安全防护要求，对边界防护、流量监测与日志留存作出规范。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 45279.4-2025 IPv4/IPv6网络安全防护技术规范 第4部分：内容分发网络
本标准于2025年2月发布、同年6月1日实施，规定内容分发网络在IPv4/IPv6环境下的安全防护技术要求，针对边缘节点与回源链路提出安全控制措施。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 35290-2023 信息安全技术 射频识别（RFID）系统安全技术规范
本标准于2023年11月发布、2024年7月1日实施，规定RFID系统的安全技术要求，覆盖标签、读写器与后台系统的身份鉴别、数据加密与访问控制。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 24364-2023 信息安全技术 信息安全风险管理实施指南
本标准于2023年11月发布、2024年7月1日实施，规定信息安全风险管理的实施流程与方法，为组织建立风险识别、分析、评价与处置闭环提供指引。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 31496-2023 信息技术 安全技术 信息安全管理体系 指南
本标准于2023年11月发布、2024年7月1日实施，等同采用国际标准，为建立、实施、保持和持续改进信息安全管理体系提供通用指南。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 32920-2023 信息安全技术 行业间和组织间通信的信息安全管理
本标准于2023年11月发布、2024年7月1日实施，规定行业间与组织间通信场景的信息安全管理要求，明确通信安全策略、伙伴信任与数据保护责任。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 42461-2023 信息安全技术 网络安全服务成本度量指南
本标准于2023年3月发布、同年10月1日实施，给出网络安全服务成本的度量方法与构成模型，为安全服务采购定价与项目预算编制提供参考。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 17902.1-2023 信息技术 安全技术 带附录的数字签名 第1部分：概述
本标准于2023年3月发布、同年10月1日实施，规定带附录数字签名的总体模型与机制，为电子签名在电子政务、电子商务中的可靠应用提供基础。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 15843.3-2023 信息技术 安全技术 实体鉴别 第3部分：采用数字签名技术的机制
本标准于2023年3月发布、同年10月1日实施，规定采用数字签名技术实现的实体鉴别机制，明确挑战响应流程、签名验证与时限要求。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/Z 140-2025 用于电量测量和监测、电能质量监测、数据采集和分析的装置的网络安全
本标准于2025年12月3日发布并实施，规定电量测量、电能质量监测与数据采集分析装置的网络安全要求，防范计量数据被篡改与终端被非法控制的风险。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/Z 43030-2023 低压开关设备和控制设备 网络安全
本标准于2023年9月发布、2024年4月1日实施，规定低压开关设备与控制设备的网络安全要求，针对工业与建筑配电场景提出通信安全与固件防护措施。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 21716.3-2025 健康信息学 公钥基础设施 第3部分：认证机构的规范化管理
本标准于2025年10月发布、2026年5月1日实施，规定健康信息领域公钥基础设施中认证机构的管理规范，对证书生命周期与审计提出要求。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 47683-2026 工业互联网 危险分析和风险评估规范
本标准于2026年5月发布、同年12月1日实施，规定工业互联网危险分析与风险评估的流程和方法，为工控系统安全风险的识别与分级提供依据。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 44861-2024 工业自动化和控制系统安全 系统设计的安全风险评估
本标准于2024年10月发布、2025年5月1日实施，规定工业自动化与控制系统在系统设计阶段开展安全风险评估的要求与方法。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 44158-2024 信息技术 云计算 面向云原生的应用支撑平台功能要求
本标准于2024年9月29日发布、2025年1月1日实施，规定面向云原生的应用支撑平台在容器编排、服务治理、弹性伸缩、可观测性、配置管理与安全隔离等方面的功能要求。适用于政务云、行业云与企业云平台的建设与选型，为承载个人信息与重要数据的云上应用提供运行环境层面的安全基线，可与云计算服务安全评估、网络安全等级保护要求衔接。
GB/T 45082-2024 物联网 泛终端操作系统总体技术要求
本标准于2024年11月28日发布、2025年6月1日实施，规定物联网泛终端操作系统的总体技术架构与能力要求，涵盖内核与运行时、设备接入、身份标识、安全启动、权限管控、系统升级与数据保护等内容。适用于智能家居、可穿戴设备、工业传感终端等泛在接入设备，为终端侧防止越权采集与数据泄露、落实App与SDK安全治理要求提供底层技术依据。
GB/T 44860-2024 面向工业应用的边缘计算 应用指南
本标准于2024年10月26日发布、2025年5月1日实施，给出边缘计算在工业场景中应用的方法指南，包括参考架构、业务部署模式、边云协同、资源管理、安全防护与运维要求，并给出典型行业应用示例。标准指导工业企业在生产现场就近处理设备与业务数据，减少敏感工业数据外传，为工业数据分类分级保护与数据不出厂区等合规要求提供实施路径。
GA/T 2155.1-2024 公安视频图像信息系统安全测试规范 第1部分：系统检验
公安部2024年8月19日发布、2025年1月1日实施的公共安全行业标准，规定了公安视频图像信息系统在系统层面的安全测试内容、测试方法、测试用例与判定准则，覆盖身份认证、访问控制、数据传输与存储安全、审计日志、安全域划分等检验项。标准适用于公安视频图像信息系统的竣工验收与定期安全检测，为海量视频图像数据的安全防护能力评估提供技术依据，与网络安全等级保护制度和重要数据分类分级保护要求配套实施。
GA/T 2155.2-2024 公安视频图像信息系统安全测试规范 第2部分：产品检测
公安部2024年7月30日发布、2025年1月1日实施的公共安全行业标准，是GA/T 2155系列的第2部分，规定了公安视频图像信息系统相关产品（前端采集设备、存储设备、平台软件等）的安全检测项目、检测环境、检测步骤与合格判定要求。标准适用于产品的型式试验与入网检测，从设备层面保障视频图像数据采集与处理环节的机密性、完整性与可用性，与第1部分系统检验共同构成完整的视频图像信息系统安全测试评价体系。
GA/T 2182-2024 信息安全技术 关键信息基础设施安全测评要求
公安部2024年12月26日发布、2025年5月1日实施的公共安全行业标准，规定了关键信息基础设施安全测评的测评原则、测评内容、测评方法与结果判定要求，覆盖安全防护、检测预警、应急处置、供应链安全与数据安全等维度。标准与GA/T 2367测评过程指南配套使用，适用于运营者年度安全测评与保护工作部门组织的检查检测，落实关键信息基础设施安全保护条例关于每年至少一次检测和风险评估的要求。
GA/T 2349-2025 公安视频图像信息系统安全事件应急响应指南
公安部2025年10月13日发布、2026年2月1日实施的公共安全行业标准，规定了公安视频图像信息系统安全事件的应急响应组织、响应流程、处置措施、恢复与总结改进要求，明确事件报告时限、现场处置、证据固定、系统恢复与事后评估规范。标准与GA/T 2147事件分类分级指南形成闭环，落实网络安全法、数据安全法关于立即启动应急预案并及时报告的义务。
GA/T 2367-2025 信息安全技术 关键信息基础设施安全测评过程指南
公安部2025年12月9日发布、2026年5月1日实施的公共安全行业标准，规定了关键信息基础设施安全测评的准备、方案编制、现场实施、风险分析与报告编制等全过程要求，明确测评团队组成、测评授权、证据留存与质量控制规范。标准与GA/T 2182测评要求配套，为运营者开展年度安全检测和风险评估提供可操作的流程指引，落实关键信息基础设施安全保护条例关于检测评估频次、报告报送与整改闭环的规定。
GB/T 47690-2026 网络安全技术 国家网络身份认证公共服务 应用接入要求
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 47690-2026《网络安全技术 国家网络身份认证公共服务 应用接入要求》，自2026-12-01起实施。该标准规定了应用接入国家网络身份认证公共服务的功能、接口、安全与个人信息保护要求，明确网号网证替代明文身份信息的实施规范，减少身份信息过度采集。
GB/T 47873-2026 道路运输车辆卫星定位系统 北斗定位数据传输安全技术要求
2026年第30号国家标准公告（2026-07-02）批准发布GB/T 47873-2026《道路运输车辆卫星定位系统 北斗定位数据传输安全技术要求》，自2027-02-01起实施。该标准规定了道路运输车辆卫星定位系统中北斗定位数据在传输环节的加密、完整性校验与身份鉴别要求，防范位置数据被篡改或泄露，适用于车载终端与监控平台。
GB 44495-2024第1号修改单 汽车整车信息安全技术要求 第1号修改单
国家市场监督管理总局、国家标准化管理委员会2026年1月28日经国家标准公告2026年第7号发布并实施。该修改单对强制性国家标准GB 44495-2024《汽车整车信息安全技术要求》作出修订，明确车辆外部连接接口、远程通信与软件升级环节的信息安全防护要求，强化对车外人脸、车牌等个人信息与车辆位置轨迹数据的保护，是智能网联汽车准入与型式检验中汽车数据安全合规的直接依据。
GB/T 44462.4-2026 工业互联网企业网络安全 第4部分：数据防护要求
国家市场监督管理总局、国家标准化管理委员会2026年3月31日经国家标准公告2026年第15号发布，同年10月1日实施。该标准针对工业互联网企业提出数据资产识别、分类分级、加密存储、访问控制、备份恢复与销毁的数据全生命周期防护要求，明确工业数据跨网传输与第三方共享的安全边界，与《工业和信息化领域数据安全管理办法》衔接，为企业落实重要数据保护与工业互联网安全分类分级管理提供可操作的实施指南。
GB/T 47324-2026 车联网平台网络安全防护要求
国家市场监督管理总局、国家标准化管理委员会2026年3月31日经国家标准公告2026年第15号发布，同年10月1日实施。该标准规定车联网服务平台在通信安全、身份认证、访问控制、数据安全、日志审计与应急响应方面的防护要求，明确平台对车辆远程控制指令、用户个人信息与行驶轨迹数据的保护义务，为车联网平台运营者落实网络安全等级保护与汽车数据安全管理要求提供技术基准。
GB/T 47325-2026 车联网在线升级安全技术要求与测试方法
国家市场监督管理总局、国家标准化管理委员会2026年3月31日经国家标准公告2026年第15号发布，同年10月1日实施。该标准规定汽车远程在线升级（OTA）的软件包签名、传输加密、版本校验、回滚机制与升级失败恢复要求，并给出相应测试方法。通过防范升级包篡改与非授权刷写，保障车辆控制系统完整性，是汽车软件升级备案与智能网联汽车产品准入中数据安全合规的重要支撑标准。
GB/T 47467-2026 车联网安全管理接口规范
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第21号发布，同年11月1日实施。该标准规定车联网安全管理系统与车辆、平台之间的接口协议、数据字段与交互流程，统一安全事件上报、证书吊销同步与策略下发的格式，使车载终端、车企平台与监管平台能够协同处置网络安全事件，支撑汽车数据安全事件的监测预警与追溯。
GB/T 46796-2025 数据安全技术 数据接口安全风险监测方法
国家市场监督管理总局、国家标准化管理委员会2025年12月2日经国家标准公告2025年第33号发布，2026年7月1日实施。该标准针对应用程序编程接口这一数据泄露高危通道，规定接口资产识别、调用行为基线建立、异常调用与批量拉取检测、敏感数据出参识别等风险监测方法，支撑企业落实数据接口常态化安全监测义务。
GB/T 47001-2025 智能网联汽车数字身份及认证通用规范
国家市场监督管理总局、国家标准化管理委员会2025年12月31日经国家标准公告2025年第38号发布，2026年7月1日实施。该标准规定智能网联汽车整车、关键零部件、车载终端与服务平台的数字身份标识规则、证书管理体系与认证流程，支撑车云通信、车车通信与车路协同中的身份可信、数据完整与抗抵赖，是汽车数据安全的基础标准。
GB/T 44778-2024 汽车诊断接口信息安全技术要求及试验方法
国家市场监督管理总局、国家标准化管理委员会2024年10月26日经国家标准公告2024年第24号发布并同步实施。该标准规定汽车OBD诊断接口的信息安全技术要求与试验方法，明确访问控制、身份认证、报文加密与审计日志机制，防范通过诊断接口非法读取车辆数据、刷写控制指令，是智能网联汽车数据安全与整车信息安全的重要标准。
GB/T 45181-2024 车联网网络安全异常行为检测机制
国家市场监督管理总局、国家标准化管理委员会2024年12月31日经国家标准公告2024年第32号发布，2025年4月1日实施。该标准规定车联网环境下网络安全异常行为的检测机制，明确车载终端、路侧设备与平台侧的异常行为分类、检测模型与告警联动流程，支撑整车企业建立车联网安全监测平台，落实网络安全事件及时发现与报告义务。
GB/T 43026-2023 公共安全视频监控联网信息安全测试规范
国家市场监督管理总局、国家标准化管理委员会2023年9月7日经国家标准公告2023年第9号发布，2024年10月1日实施。该标准规定公共安全视频监控联网系统的信息安全测试规范，覆盖设备身份认证、访问控制、视频数据加密与审计溯源，明确涉及人脸等生物特征信息时的保护要求，为视频监控联网安全检测与验收提供依据。
GB/T 43580-2023 区块链和分布式记账技术 存证通用服务指南
国家市场监督管理总局、国家标准化管理委员会2023年12月28日经国家标准公告2023年第20号发布，2024年4月1日实施。该标准给出基于区块链的存证通用服务指南，规定存证申请、数据上链、存证查询与出证的服务流程、数据格式与服务方责任，明确上链前数据核验与个人信息保护要求，为电子数据存证合规应用提供规范。
GB/T 35274-2023 信息安全技术 大数据服务安全能力要求
国家市场监督管理总局、国家标准化管理委员会2023年8月6日经国家标准公告2023年第7号发布，2024年3月1日实施。该标准规定大数据服务提供方的安全能力要求，覆盖数据采集、传输、存储、处理、交换与销毁全生命周期，明确组织保障、制度流程、人员管理与技术能力指标，是大数据服务安全评估与采购的重要依据。
GB/T 42708-2023 金融网络安全威胁信息共享指南
国家市场监督管理总局、国家标准化管理委员会2023年8月6日经国家标准公告2023年第7号发布并同步实施。该标准给出金融领域网络安全威胁信息共享的指南，规定共享内容、数据格式、共享渠道与传输保护要求，明确敏感信息脱敏规则、共享范围控制与参与方责任边界划分，为金融机构间威胁情报的协同联防与快速处置提供规范。
GB/T 42927-2023 金融行业开源软件测评规范
国家市场监督管理总局、国家标准化管理委员会2023年8月6日经国家标准公告2023年第7号发布并同步实施。该标准规定金融行业开源软件测评的规范，覆盖代码安全缺陷、开源许可证合规性、供应链依赖风险、漏洞响应与社区维护活跃度等测评维度，为金融机构引入开源软件与开展软件供应链安全管理提供可操作的测评依据。
GB/T 43766-2024 智能网联汽车运行安全测试技术要求
国家市场监督管理总局、国家标准化管理委员会2024年3月15日经国家标准公告2024年第1号发布，2024年10月1日实施。该标准规定智能网联汽车运行安全测试的总体要求、测试项目与判定规则，覆盖功能安全、预期功能安全与信息安全，明确测试数据采集、存储与追溯要求，支撑运行安全监管落地。，为汽车数据处理活动的合规开展提供技术支撑。
GB/T 45112-2024 基于LTE的车联网无线通信技术 安全证书管理系统技术要求
国家市场监督管理总局、国家标准化管理委员会2024年12月31日经国家标准公告2024年第32号发布，2025年4月1日实施。该标准规定车联网安全证书管理系统的体系架构、证书生命周期管理与接口安全要求，明确证书申请、更新、吊销及跨域互信机制，为车车、车路通信身份认证与数据完整性保护提供基础。，为汽车数据处理活动的合规开展提供技术支撑。
GB/T 38961-2020 个人健康信息码 参考模型
国家市场监督管理总局、国家标准化管理委员会2020年4月29日经国家标准公告2020年第9号发布，2020年4月29日实施。该标准给出个人健康信息码的参考模型，明确码的组成要素、角色关系与数据流转机制，规范健康码在疫情防控中的生成、使用与核验流程，为个人信息处理活动提供标准化框架。，为个人信息处理者的合规实践提供标准依据。
GB/T 36901-2018 电子证照 总体技术架构
国家市场监督管理总局、国家标准化管理委员会2018年11月15日经国家标准公告2018年第14号发布，2019年1月1日实施。该标准给出电子证照的总体技术架构，明确证照目录、元数据与文件构成的层级关系，规范电子证照系统的功能组成与数据流转为政务数据互通与证照共享提供基础架构参照。，为组织数据管理能力建设与评价提供标准依据。
GB/T 33780.5-2021 基于云计算的电子政务公共平台技术规范 第5部分：信息资源开放共享系统架构
国家市场监督管理总局、国家标准化管理委员会2021年3月9日经国家标准公告2021年第3号发布，2021年10月1日实施。该标准给出电子政务公共平台信息资源开放共享系统架构，明确资源目录、共享交换与授权管理的功能组成，为政务数据开放共享与合规流通提供架构规范，支撑数字政府建设。，为组织数据管理能力建设与评价提供标准依据。
GB/T 34078.2-2021 基于云计算的电子政务公共平台总体规范 第2部分：顶层设计导则
国家市场监督管理总局、国家标准化管理委员会2021年3月9日经国家标准公告2021年第3号发布，2021年10月1日实施。该标准给出电子政务公共平台顶层设计导则，明确设计原则、内容框架与实施路径，覆盖服务目录、数据架构与安全体系，为云平台统筹规划提供方法论指导，避免重复建设与数据孤岛。，为组织数据管理能力建设与评价提供标准依据。
GB/T 44230-2024 政务信息系统基本要求
国家市场监督管理总局、国家标准化管理委员会2024年8月23日经国家标准公告2024年第17号发布，2025年3月1日实施。该标准规定政务信息系统的总体要求，覆盖功能、性能、数据与安全管理，明确系统互联互通、信息共享与安全防护的基本条款，为政务信息系统建设、验收与数据合规提供依据。，为组织数据管理能力建设与评价提供标准依据。
GB/T 44229-2024 基于云计算的重大突发公众卫生事件中社区服务系统基本要求
国家市场监督管理总局、国家标准化管理委员会2024年8月23日经国家标准公告2024年第17号发布，2025年3月1日实施。该标准规定重大突发公共卫生事件中社区服务系统的基本要求，明确数据采集、居民信息管理与服务协同功能，规范个人信息在应急场景下的收集范围与使用边界，兼顾应急效率与信息保护。，为个人信息处理者的合规实践提供标准依据。
GB/T 16790.5-2006 金融交易卡 使用集成电路卡的金融交易系统的安全体系 第5部分：算法应用
国家质量监督检验检疫总局、国家标准化管理委员会2006年12月25日发布国家标准公告，2007年3月1日实施。该标准规定使用集成电路卡的金融交易系统安全体系中算法应用要求，明确密码算法选择、密钥应用与交易安全流程，是金融 IC 卡与金融交易安全的重要基础标准。该标准为金融机构数据治理、监管报送与跨机构数据交换提供统一规范。，可与相关管理制度与技术措施配套使用
GB/T 20984-2007 信息安全技术 信息安全风险评估规范
国家质量监督检验检疫总局、国家标准化管理委员会2007年8月10日发布国家标准公告，2007年11月1日实施。该标准是国内首项信息安全风险评估国家标准，规定风险评估的基本概念、要素关系、实施流程与评估方法，明确资产、威胁、脆弱性与安全措施的关联分析框架，是后续各类风险评估与检查工作的总纲性依据。该标准为单位开展风险识别、评估与处置并满足监管检查要求提供方法依据。
GB/T 20983-2007 信息安全技术 网上银行系统信息安全保障评估准则
国家质量监督检验检疫总局、国家标准化管理委员会2007年8月10日发布国家标准公告，2007年11月1日实施。该标准规定网上银行系统信息安全保障评估准则，明确网上银行系统的安全技术、安全管理与安全保障要求及评估方法，是金融行业网络安全评估与监管检查的重要技术依据。该标准为金融机构数据治理、监管报送与跨机构数据交换提供统一规范。，可与相关管理制度与技术措施配套使用
GB/T 20987-2007 信息安全技术 网上证券交易系统信息安全保障评估准则
国家质量监督检验检疫总局、国家标准化管理委员会2007年8月10日发布国家标准公告，2007年11月1日实施。该标准规定网上证券交易系统信息安全保障评估准则，明确交易系统安全防护、身份认证与审计溯源要求，为证券期货业信息系统安全保障评估提供依据。该标准为金融机构数据治理、监管报送与跨机构数据交换提供统一规范。，是相关领域开展合规建设与能力评价的重要参考
GB/Z 24364-2009 信息安全技术 信息安全风险管理指南
国家质量监督检验检疫总局、国家标准化管理委员会2009年10月9日发布国家标准公告，2009年12月1日实施。该指导性技术文件给出信息安全风险管理指南，规定风险管理的组织架构、实施过程与评价改进要求，指导组织建立常态化的信息安全风险管理工作机制。该标准为单位开展风险识别、评估与处置并满足监管检查要求提供方法依据。，可与相关管理制度与技术措施配套使用
GB/T 29765-2013 信息安全技术 数据备份与恢复产品技术要求与测试评价方法
国家质量监督检验检疫总局、国家标准化管理委员会2013年9月22日经国家标准公告2013年第18号发布，2014年5月1日实施。该标准规定数据备份与恢复产品的技术要求与测试评价方法，明确备份策略、恢复能力、存储介质管理与安全审计要求，是数据安全保护与业务连续性建设的产品依据。该标准为单位落实数据安全保护义务、建立数据安全管理制度提供标准化参考。
GB/T 29841.3-2013 卫星定位个人位置信息服务系统 第3部分：信息安全规范
国家质量监督检验检疫总局、国家标准化管理委员会2013年11月19日经国家标准公告2013年第22号发布，2014年5月1日实施。该标准为卫星定位个人位置信息服务系统第三部分，规定信息安全规范，明确位置信息采集、传输存储与访问控制的安全要求，是位置服务中个人信息与敏感轨迹保护的重要依据。该标准为各类组织处理个人信息提供合规参照，有助于落实告知同意与最小必要原则。
GB/T 31509-2015 信息安全技术 信息安全风险评估实施指南
国家质量监督检验检疫总局、国家标准化管理委员会2015年5月15日经国家标准公告2015年第15号发布，2016年1月1日实施。该标准规定信息安全风险评估实施指南，细化风险评估的准备、识别、分析与结论各环节操作要求，与风险评估规范配套使用，是开展自评估与检查评估的实施依据。该标准为单位开展风险识别、评估与处置并满足监管检查要求提供方法依据。
GB/T 31722-2015 信息技术 安全技术 信息安全风险管理
国家质量监督检验检疫总局、国家标准化管理委员会2015年6月2日经国家标准公告2015年第19号发布，2016年2月1日实施。该标准等同采用 ISO/IEC 27005，规定信息安全风险管理的过程与要求，明确风险识别、估计、评价与处置的闭环方法，是组织建立风险管理体系的国际接轨依据。该标准为单位开展风险识别、评估与处置并满足监管检查要求提供方法依据。
GB/T 31504-2015 信息安全技术 鉴别与授权 数字身份信息服务框架规范
国家质量监督检验检疫总局、国家标准化管理委员会2015年5月15日经国家标准公告2015年第15号发布，2016年1月1日实施。该标准规定数字身份信息服务框架规范，明确数字身份的注册、认证、属性管理与服务接口要求，为网络身份认证体系建设与个人身份信息保护提供依据。该标准为各类组织处理个人信息提供合规参照，有助于落实告知同意与最小必要原则。
GB/T 31502-2015 信息安全技术 电子支付系统安全保护框架
国家质量监督检验检疫总局、国家标准化管理委员会2015年5月15日经国家标准公告2015年第15号发布，2016年1月1日实施。该标准规定电子支付系统安全保护框架，明确电子支付各环节的安全目标、安全技术与安全管理要求，是支付业务系统安全防护与评估的依据。该标准为金融机构数据治理、监管报送与跨机构数据交换提供统一规范。，可与相关管理制度与技术措施配套使用
GB/T 33132-2016 信息安全技术 信息安全风险处理实施指南
国家质量监督检验检疫总局、国家标准化管理委员会2016年10月13日经国家标准公告2016年第17号发布，2017年5月1日实施。该标准规定信息安全风险处理实施指南，明确风险处置策略选择、措施实施与残余风险评价要求，是风险管理闭环中风险处置环节的实施依据。该标准为单位开展风险识别、评估与处置并满足监管检查要求提供方法依据。，可与相关管理制度与技术措施配套使用
GB/T 33136-2016 信息技术服务 数据中心服务能力成熟度模型
国家质量监督检验检疫总局、国家标准化管理委员会2016年10月13日经国家标准公告2016年第17号发布，2017年5月1日实施。该标准规定信息技术服务数据中心服务能力成熟度模型，按等级划分数据中心在人员、技术与过程方面的服务能力，是数据中心服务能力评价的常用依据。该标准为单位落实数据安全保护义务、建立数据安全管理制度提供标准化参考。
GB/T 27929-2025 金融服务 采用对称加密技术进行报文鉴别的要求
国家市场监督管理总局、国家标准化管理委员会2025年6月30日经国家标准公告2025年第14号发布，2025年10月1日实施。该标准规定金融服务采用对称加密技术进行报文鉴别的要求，明确报文鉴别码生成、密钥管理与验证流程，保障金融交易报文的完整性与真实性。该标准为金融机构数据治理、监管报送与跨机构数据交换提供统一规范。，可与相关管理制度与技术措施配套使用
GB/T 35274-2017 信息安全技术 大数据服务安全能力要求
国家质量监督检验检疫总局、国家标准化管理委员会2017年12月29日经国家标准公告2017年第32号发布，2018年7月1日实施。该标准规定大数据服务提供者应具备的安全能力要求，从数据供应链、数据服务周期与组织管理三个维度提出安全能力指标，覆盖数据采集、传输、存储、处理、交换与销毁各环节。适用于大数据平台建设方、运营方与第三方评估机构开展安全能力建设与评价。
GB/T 35678-2017 公共安全 人脸识别应用 图像技术要求
国家质量监督检验检疫总局、国家标准化管理委员会2017年12月29日经国家标准公告2017年第32号发布，2018年7月1日实施。该标准规定公共安全领域人脸识别应用的人脸图像技术要求，明确人脸图像的采集条件、质量指标、数据格式与交换要求，保障人脸识别系统前端数据的一致性与可用性。是人脸识别系统在公共安全领域合规应用的基础数据标准。
GB/T 35735-2017 公共安全 指纹识别应用 采集设备通用技术要求
国家质量监督检验检疫总局、国家标准化管理委员会2017年12月29日经国家标准公告2017年第32号发布，2018年7月1日实施。该标准规定公共安全领域指纹识别应用的采集设备通用技术要求，明确采集设备的性能指标、接口规范、数据格式与安全要求，规范指纹采集环节的数据质量。是指纹识别系统在公共安全领域部署与检测的重要依据。对生物特征采集环节的个人信息保护具有基础规范作用。
GB/T 35783-2017 信息技术 虹膜识别设备通用规范
国家质量监督检验检疫总局、国家标准化管理委员会2017年12月29日经国家标准公告2017年第32号发布，2018年7月1日实施。该标准规定虹膜识别设备的通用规范，明确虹膜图像采集、处理、特征提取与比对的功能与性能要求，以及设备接口、数据安全与可靠性指标。是虹膜识别产品研制、选型与检测认证的重要技术依据。对高安全等级身份鉴别场景的合规建设具有参考价值。
GB/T 35676-2017 公共安全 指静脉识别应用 算法识别性能评测方法
国家质量监督检验检疫总局、国家标准化管理委员会2017年12月29日经国家标准公告2017年第32号发布，2018年7月1日实施。该标准规定公共安全领域指静脉识别应用的算法识别性能评测方法，明确测试样本、评价指标与测试流程，为指静脉识别算法的性能比对与选型提供统一方法。是指静脉识别产品在公共安全领域应用效果评价的依据。对生物识别算法准确率与误识率的合规验证具有参考意义。
GB/T 36651-2018 信息安全技术 基于可信环境的生物特征识别身份鉴别协议框架
国家市场监督管理总局、国家标准化管理委员会2018年10月10日经国家标准公告2018年第13号发布，2019年5月1日实施。该标准给出基于可信环境的生物特征识别身份鉴别协议框架，明确在可信执行环境中完成生物特征比对与身份鉴别的协议流程与安全要求。实现生物特征数据不出可信域，是生物识别隐私保护的关键技术路径。对人脸识别、指纹支付等场景的合规设计具有指导意义。
GB/T 20979-2019 信息安全技术 虹膜识别系统技术要求
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准规定虹膜识别系统的技术要求，明确系统架构、功能要求、性能指标与安全要求，覆盖虹膜图像采集、特征生成与比对全过程。是虹膜识别系统建设与检测认证的重要技术依据。对高安全等级身份鉴别场景具有直接适用价值。
GB/T 38632-2020 信息安全技术 智能音视频采集设备应用安全要求
国家市场监督管理总局、国家标准化管理委员会2020年4月28日经国家标准公告2020年第8号发布，2020年11月1日实施。该标准规定智能音视频采集设备的应用安全要求，明确设备的身份鉴别、访问控制、数据传输加密、数据存储与用户告知要求。直指智能摄像头等设备的偷拍与数据泄露风险。与公共场所图像采集与个人信息保护要求直接相关。
GB/T 38542-2020 信息安全技术 基于生物特征识别的移动智能终端身份鉴别技术框架
国家市场监督管理总局、国家标准化管理委员会2020年3月6日经国家标准公告2020年第1号发布，2020年10月1日实施。该标准给出基于生物特征识别的移动智能终端身份鉴别技术框架，明确在终端侧完成生物特征采集、比对与结果输出的安全要求。强调生物特征数据本地处理与不出终端，隐私保护价值突出。是移动支付与终端解锁等场景合规设计的重要依据。
GB/T 28826.4-2022 信息技术 公用生物特征识别交换格式框架 第4部分：安全块格式规范
国家市场监督管理总局、国家标准化管理委员会2022年10月12日经国家标准公告2022年第13号发布，2023年5月1日实施。该标准为公用生物特征识别交换格式框架的第四部分，规定安全块格式规范，明确生物特征数据在交换过程中的加密与完整性保护格式。为生物特征数据跨系统交换提供安全封装机制。对生物特征信息传输与存储合规具有直接价值。
GB/T 29268.5-2022 信息技术 生物特征识别性能测试和报告 第5部分：访问控制场景与分级机制
国家市场监督管理总局、国家标准化管理委员会2022年10月12日经国家标准公告2022年第13号发布，2023年5月1日实施。该标准为生物特征识别性能测试和报告的第五部分，规定访问控制场景与分级机制，明确不同安全等级下识别性能的指标要求。将生物识别性能与安全等级挂钩，支撑差异化应用。对高安全场景的门禁与身份核验系统设计具有参考价值。
GB/T 27913-2022 用于金融服务的公钥基础设施 实施和策略框架
国家市场监督管理总局、国家标准化管理委员会2022年4月15日经国家标准公告2022年第6号发布，2022年4月15日实施。该标准给出用于金融服务的公钥基础设施实施和策略框架，明确金融行业PKI的证书策略、认证业务声明与实施要求。是金融行业电子认证与数字证书应用的核心标准。对金融数据安全与电子支付合规具有直接支撑作用。
GB/T 41460-2022 非银行支付机构支付业务设施技术要求
国家市场监督管理总局、国家标准化管理委员会2022年4月15日经国家标准公告2022年第6号发布，2022年11月1日实施。该标准规定非银行支付机构支付业务设施的技术要求，明确支付系统在交易处理、资金安全、数据保护与业务连续性方面的要求。是非银行支付机构合规运营与系统检测的重要依据。对支付场景个人信息与交易数据保护具有约束作用。
GB/T 41463-2022 非银行支付机构支付业务设施检测规范
国家市场监督管理总局、国家标准化管理委员会2022年4月15日经国家标准公告2022年第6号发布，2022年11月1日实施。该标准规定非银行支付机构支付业务设施的检测规范，明确检测内容、检测方法与判定准则，支撑支付设施的合规性验证。是支付业务设施验收与年度检测的标准化依据。与技术要求标准配套构成支付设施合规评价体系。
GB/T 42884-2023 信息安全技术 移动互联网应用程序（App）生命周期安全管理指南
本标准于2023年8月发布、2024年3月1日实施，按设计、开发、发布、运营、下架各阶段提出App安全管理要求，覆盖权限申请、第三方SDK与数据处置。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 46194-2025 道路车辆 信息安全工程
本标准于2025年10月5日发布并实施，规定道路车辆信息安全工程的流程与要求，覆盖概念、开发、验证、生产及运维各阶段的安全活动。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 44774-2024 汽车信息安全应急响应管理规范
本标准于2024年10月发布、2025年5月1日实施，规定汽车信息安全事件的应急响应组织、流程与处置要求，明确漏洞发现后的报告与修复时限。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 40855-2021 电动汽车远程服务与管理系统信息安全技术要求及试验方法《第1号修改单》
本修改单于2025年10月31日实施，对电动汽车远程服务与管理系统信息安全技术要求作出修订，强化车载终端与平台间数据传输的保密性与完整性要求。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/Z 104-2025 金融服务中基于互联网服务的应用程序编程接口技术规范
本标准于2025年12月3日发布并实施，规定金融服务中基于互联网的应用程序编程接口技术规范，对开放银行场景下的接口安全与数据交换作出要求。该标准为相关组织开展制度建设与安全管理提供了统一技术依据，可作为监管检查、第三方评估与内部自查的参照基准。标准的发布实施有助于填补该领域国家标准空白，推动技术要求在不同行业与应用场景中的一致落地。
GB/T 44901.1-2024 卡及身份识别安全设备 片上操作系统 第1部分：总体要求
本标准于2024年11月28日发布、2025年5月1日实施，规定卡及身份识别安全设备所用片上操作系统的总体要求，涵盖安全架构、密钥与敏感数据保护、访问控制、生命周期管理及抗攻击能力等内容。适用于金融卡、身份证件、门禁凭证等承载身份识别功能的智能卡产品，为身份鉴别场景中个人身份信息的安全存储与处理提供底层技术依据，与个人信息保护法关于敏感个人信息保护要求直接相关。
GB/T 44792-2024 健康管理 远程医疗平台信息接入与数据交换
本标准于2024年10月26日发布、2025年5月1日实施，规定健康管理远程医疗平台在信息接入与数据交换过程中的数据格式、接口规范、传输安全与一致性要求，覆盖可穿戴设备、家庭监测终端与医疗机构信息系统之间的健康数据互通。标准涉及健康生理数据这一敏感个人信息的采集与流转，为远程医疗场景落地个人信息保护法关于单独同意、最小必要与安全传输要求提供技术支撑。
GB/T 44662-2024 健康管理 终端设备数据采集与传输协议
本标准于2024年10月26日发布、2025年4月1日实施，规定健康管理终端设备在生理指标、行为数据采集与传输环节的协议框架、数据元定义、编码规则与安全传输要求，适用于血压计、血糖仪、心电监测等家用与医用健康终端。标准明确了终端侧数据采集的边界与传输加密要求，为落实个人健康信息最小必要采集与端到端安全保护提供统一技术依据。
GB/T 41780.2-2024 物联网 边缘计算 第2部分：数据管理要求
本标准于2024年10月26日发布、2024年12月1日实施，是物联网边缘计算系列标准的第2部分，规定边缘节点在数据全生命周期管理中的要求，包括数据采集、预处理、本地存储、缓存与销毁、元数据管理、数据分级与跨节点同步。适用于工业物联网、智慧城市等在边缘侧处理大量感知数据的场景，为数据不出域、本地化治理与最小化上传提供技术依据。
GA/T 2147-2024 公安视频图像信息系统安全事件分类分级指南
公安部2024年5月4日发布、2024年10月1日实施的公共安全行业标准，规定了公安视频图像信息系统安全事件的分类方法、分级要素与判定规则，明确事件类型划分、危害程度评估指标与响应级别对应关系。标准适用于视频图像信息系统安全事件的发现、定级、报告与处置，为数据安全事件的规范化管理提供统一标尺，与网络安全法关于应急预案和报告义务的要求配套，支撑重要数据分类分级保护制度落地。
网络安全标准实践指南——智能体系统开发安全指南（征求意见稿）
全国网络安全标准化技术委员会秘书处2026年9月18日发布《网络安全标准实践指南——智能体系统开发安全指南（征求意见稿）》（网安秘字〔2026〕119号），反馈截止2026年10月2日。指南旨在指导智能体系统安全开发、防范化解相关安全风险。这是继9月15日发布人工智能应用安全指引总则及教育、卫生健康、广播电视和网络视听等分领域指引后，网安标委在人工智能安全标准领域的又一补充文件。
信息通信服务运行安全 智能系统工程能力要求（行业标准立项）
中国信息通信研究院牵头的通信行业标准，在CCSA TC1WG5第43次工作组会议上成功立项，2026年9月17日召开研讨启动会。标准面向智能系统工程生产运行场景，建立覆盖智算基础设施、模型服务、Agent服务及其支撑系统的运行安全保障能力体系，拟围绕架构与资源保障、运行监测、容量与性能管理、稳定性防护、变更管理、故障处置、容灾恢复、外部依赖、应急保障和持续改进等方面提出能力要求。
网络安全标准实践指南——智能体部署使用安全指引
全国网络安全标准化技术委员会秘书处2026年7月1日发布（网安秘字〔2026〕80号）。指南按评估、准备、部署、使用、停用五阶段给出智能体部署使用安全指引，适用于智能体部署使用的安全风险防范，也可为选择商业智能体服务提供参考。核心要求为：部署前风险评估与场景分级、权限配置与数据治理、环境隔离、监控接入与最小权限、运行监控与异常检测、人工复核，以及停用阶段的数据清除、权限回收与日志留存。
GB/T 47702-2026 区块链和分布式记账技术 通用服务 分布式身份系统技术要求
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 47702-2026《区块链和分布式记账技术 通用服务 分布式身份系统技术要求》，自2026-09-01起实施。该标准规定了分布式身份系统的总体架构、标识符与文档格式、密钥管理、凭证签发验证及隐私保护要求，支撑用户自主可控的身份管理与最小化信息披露。
GB 44721-2026 智能网联汽车 自动驾驶系统安全要求
由国家市场监督管理总局、国家标准化管理委员会于2026年7月30日发布2026年第34号国家标准公告批准，代替GB/T 44721-2024并升级为强制性国家标准，自2027年7月1日起实施。标准规定了自动驾驶系统的功能安全、预期功能安全、信息安全与数据记录等强制要求，明确系统失效响应、最小风险策略及自动驾驶数据记录与存储安全规范，适用于智能网联汽车自动驾驶系统的设计、生产与准入检验。
GA/T 2380-2026 信息安全技术 网络安全等级保护数据安全基本要求
公安部2026年第1号公共安全行业标准公告发布，2026年6月1日实施。该标准以GB/T 22239-2019为基础，首次在等级保护框架下设立独立的数据安全专项要求，将数据分为一般数据、重要数据、核心数据三级，按等保一至四级差异化规定采集、传输、存储、处理、交换、销毁全生命周期要求，新增"安全数据处理"大类，与GB/T 35273、GB/T 45574衔接，是企业数据安全合规的刚性依据。
GA/T 2381-2026 信息安全技术 网络安全等级保护数据安全测评机构能力要求
公安部2026年第1号公共安全行业标准公告发布，2026年6月1日实施。该标准规范承担等保数据安全测评的第三方机构，从人员能力、工具技术能力、管理质量要求三个维度明确准入门槛：每个项目至少配备两名专职数据安全测评师，项目负责人须具等保高级测评师资历与三年以上数据安全经验；须配备分类分级、脱敏效果检测、泄露扫描等工具；测评记录与原始数据留存不少于三年且不可篡改，测评数据不得出境。
GA/T 2382-2026 信息安全技术 容器安全监测产品安全技术要求
公安部2026年第1号公共安全行业标准公告发布，2026年6月1日实施。该标准规定了容器安全监测产品的安全功能要求、自身安全要求和安全保障要求，覆盖镜像安全检测、运行时行为监测、容器网络防护、编排平台适配等能力项，并对产品自身的身份鉴别、权限控制、审计日志与漏洞管理提出要求，适用于容器安全监测产品的设计、开发、检测与选型，为云计算环境下的容器安全建设提供统一依据。
GA/T 2383-2026 信息安全技术 DNS安全监测防御产品安全技术要求
公安部2026年第1号公共安全行业标准公告发布，2026年6月1日实施。该标准规定了DNS安全监测防御产品的安全功能要求、自身安全要求、安全保障要求及等级划分要求，涵盖域名解析异常监测、缓存投毒与劫持识别、DDoS攻击防护、威胁情报联动等能力，适用于DNS安全监测防御产品的设计、开发、检测与等级评价，为关键信息基础设施域名系统安全防护提供技术依据。
GA/T 2384-2026 信息安全技术 软件源代码安全缺陷检测产品技术要求
公安部2026年第1号公共安全行业标准公告发布，2026年6月1日实施。该标准规定了软件源代码安全缺陷检测产品的安全功能要求和安全保障要求，覆盖代码缺陷规则库、缺陷检出与误报漏报指标、检测语言与框架支持、扫描性能与增量检测等能力项，适用于源代码安全缺陷检测产品的设计、开发与检测，为企业落实软件供应链安全与开发安全左移提供可核查依据。
GA/T 2385-2026 信息安全技术 工业控制系统主机白名单产品安全技术要求
公安部2026年第1号公共安全行业标准公告发布，2026年6月1日实施。该标准规定了工业控制系统主机白名单产品的安全功能要求、自身安全要求和安全保障要求，包括可执行程序与脚本白名单管控、进程行为监测、移动存储介质管控、白名单策略集中管理与离线应急机制，适用于工控主机白名单产品的设计、开发与检测，为工业领域关键信息基础设施主机安全防护提供依据。
GA/T 2386.1-2026 互联网信息服务安全检查工具技术要求 第1部分：通用要求
公安部2026年第1号公共安全行业标准公告发布，2026年6月1日实施。该标准规定了公安机关网安部门开展互联网信息服务安全检查时所装备的通用安全检查工具的功能要求、自身安全要求和性能要求，涵盖资产发现、违规内容检测、个人信息收集行为检测、日志留存与证据固定等能力，也可为专用安全检查工具的设计开发提供参考。
GA/T 2386.2-2026 互联网信息服务安全检查工具技术要求 第2部分：互联网数据中心安全检查
公安部2026年第1号公共安全行业标准公告发布，2026年6月1日实施。该标准规定了互联网信息服务安全检查工具中互联网数据中心安全检查工具的功能要求、自身安全要求和性能要求，覆盖IDC机房与云主机资产核查、域名与IP备案一致性核验、数据存储与出境合规检查、日志留存核查等能力，适用于公安机关网安部门对互联网数据中心开展安全检查的专用工具设计与开发。
GA 1277.14-2026 互联网交互式服务安全管理要求 第14部分：寄送类互联网服务
公安部2026年第2号公共安全行业标准公告发布的强制性行业标准，2026年7月1日实施，适用于寄递物流类互联网服务。标准要求平台落实真实身份信息认证、用户账号信息管理，对寄件人与收件人姓名、电话、地址等个人信息采取加密存储、去标识化展示与最小范围使用措施，建立订单信息留存期限与销毁机制，并配合监管部门开展数据调取与违法信息处置，压实寄递场景个人信息保护义务。
GA 1277.15-2026 互联网交互式服务安全管理要求 第15部分：电子邮件服务
公安部2026年第2号公共安全行业标准公告发布的强制性行业标准，2026年7月1日实施，适用于电子邮件服务。标准要求服务提供者落实用户真实身份信息认证与账号信用管理，对邮件内容与通信录等数据采取加密传输与存储措施，建立垃圾邮件与违法信息识别处置机制，规范日志留存期限与对外提供规则，并为用户行使查阅、复制、删除个人信息权利提供便捷渠道。
GA 1277.16-2026 互联网交互式服务安全管理要求 第16部分：短视频服务
公安部2026年第2号公共安全行业标准公告发布的强制性行业标准，2026年7月1日实施，适用于短视频服务。标准要求平台落实真实身份信息认证，建立健全内容审核与推荐算法安全机制，明确个性化推荐关闭选项，对未成年人使用实行时段时长管理与内容池限制，规范用户地理位置、设备标识等个人信息采集，并建立信息发布审核、监测预警与违法账号处置制度。
GA 1277.17-2026 互联网交互式服务安全管理要求 第17部分：网络游戏服务
公安部2026年第2号公共安全行业标准公告发布的强制性行业标准，2026年7月1日实施，适用于网络游戏服务。标准要求网络游戏服务提供者落实用户真实身份信息认证与未成年人防沉迷管理，对游戏账号、支付信息、通信信息等数据采取分类分级保护与加密措施，建立游戏内信息发布审核、违规账号处置与个人信息查询删除机制，并规范对外提供个人信息与数据出境的安全评估要求。
GA 1277.18-2026 互联网交互式服务安全管理要求 第18部分：知识分享/网络文学服务
公安部2026年第2号公共安全行业标准公告发布的强制性行业标准，2026年7月1日实施，适用于知识分享与网络文学服务。标准要求平台落实真实身份信息认证与账号信息管理，建立内容审核、特征库比对与违法信息处置机制，规范用户阅读偏好、浏览记录等个人信息的收集使用边界与个性化推荐关闭选项，明确数据留存期限、权限控制与对外提供规则，压实内容生态治理义务。
GA/T 2389-2026 信息安全技术 云安全资源管理平台产品安全技术要求
公安部2026年第2号公共安全行业标准公告发布，2026年7月1日实施。该标准规定了云安全资源管理平台产品的安全功能要求、自身安全要求和安全保障要求，覆盖安全资源池化管理、策略统一编排下发、多租户隔离与权限控制、安全能力调用审计等能力项，适用于该产品的设计、开发与检测，为云环境下安全能力的集中管理与合规审计提供技术依据。
GA/T 2392-2026 信息安全技术 信息安全产品安全可信要求
公安部2026年第2号公共安全行业标准公告发布，2026年7月1日实施。该标准规定了网络安全产品的安全可信要求，涵盖可信根与完整性度量、启动链可信验证、运行环境隔离、关键组件供应链安全、自身漏洞管理与安全更新等能力项，适用于防火墙、入侵检测、审计等各类网络安全产品的设计、开发与检测，推动安全产品自身由"可用"迈向"可信"。
GA/T 2393-2026 信息安全技术 网络安全要素采集与分析响应产品安全技术要求
公安部2026年第2号公共安全行业标准公告发布，2026年7月1日实施。该标准规定了网络安全要素采集与分析响应产品的安全功能要求、自身安全要求和安全保障要求，覆盖资产、流量、日志、威胁情报等要素的采集规范，关联分析与态势研判能力，以及自动化响应处置流程，同时明确采集数据的范围边界、留存期限与个人信息去标识化要求，适用于该类产品的设计、开发与检测。
GA/T 2394-2026 信息安全技术 网络安全等级保护数据安全测评要求
公安部2026年第2号公共安全行业标准公告发布，2026年7月1日实施。该标准与GA/T 2380-2026配套，规定等级保护对象数据安全测评的测评项、测评方法与结果判定规则，覆盖数据分类分级、全生命周期防护、安全计算环境与管理制度等方面，明确数据安全在等保测评中单独计分并纳入整体测评结论，为测评机构开展数据安全专项测评提供统一尺度。
GA/T 2395-2026 信息安全技术 网络安全等级保护数据安全测评过程指南
公安部2026年第2号公共安全行业标准公告发布，2026年7月1日实施。该标准规定网络安全等级保护数据安全测评的全流程步骤、文档要求与质量控制要求，覆盖测评准备、方案编制、现场实施、结果分析与报告编制各环节，明确测评证据留存与可追溯要求，与GB/T 28449-2019衔接配套，确保数据安全测评过程规范、结论可核查。
GA/T 2396-2026 信息安全技术 关键信息基础设施安全主动防御实施指南
公安部2026年第2号公共安全行业标准公告发布，2026年7月1日实施。该标准给出关键信息基础设施运营者开展安全主动防御的实施指南，涵盖攻击面收敛、欺骗防御、威胁 hunting、常态化实战演练与防御能力评估等内容，指导运营者由被动合规转向主动对抗，落实关键信息基础设施安全保护条例规定的安全保护义务。
GA/T 2397-2026 信息安全技术 关键信息基础设施关键业务链脆弱性分析与处置方法
公安部2026年第2号公共安全行业标准公告发布，2026年7月1日实施。该标准给出关键信息基础设施关键业务链的脆弱性识别、分析与处置方法，要求以业务连续性为目标梳理关键业务链条与依赖关系，识别单点故障与外部依赖风险，给出分级处置优先级与整改验证流程，为运营者开展脆弱性管理与供应链风险治理提供可操作指引。
GA/T 2398-2026 信息安全技术 关键信息基础设施安全监测预警实施指南
公安部2026年第2号公共安全行业标准公告发布，2026年7月1日实施。该标准给出关键信息基础设施安全监测预警体系的建设与实施指南，涵盖监测数据采集范围、威胁指标与预警分级规则、预警研判与发布流程、与行业及国家级平台的联动机制，并对监测过程中涉及的个人信息与重要数据提出脱敏与访问控制要求，指导运营者建立健全态势感知与预警响应能力，做到早发现、早处置。
GA/T 2399-2026 信息安全技术 关键信息基础设施安全事件处置实施指南
公安部2026年第2号公共安全行业标准公告发布，2026年7月1日实施。该标准给出关键信息基础设施安全事件的分类分级、应急处置流程与恢复重建要求，明确事件发现、定级、上报时限、规范现场处置、电子数据取证与证据留存、系统恢复与复盘改进各环节的操作要求，与国家网络安全事件报告管理办法衔接，指导运营者建立闭环的事件处置与报告机制。
GA/T 2400-2026 信息安全技术 开源组件安全检测系统安全技术要求
公安部2026年第2号公共安全行业标准公告发布，2026年7月1日实施。该标准规定了开源组件安全检测系统的安全功能要求、自身安全要求和安全保障要求，覆盖开源组件成分识别、依赖关系图谱构建、已知漏洞匹配与许可证合规风险检测、修复优先级建议输出等能力项，并要求系统对检测过程中获取的源代码与依赖信息采取访问控制与保密措施，为企业落实软件供应链安全与开源合规治理提供技术依据。
GA/T 1390.6-2025 信息安全技术 网络安全等级保护基本要求 第6部分：边缘计算安全扩展要求
由公安部2025年第1号公共安全行业标准公告批准发布、2026年2月1日起实施的推荐性行业标准，是网络安全等级保护基本要求在边缘计算场景的扩展。标准规定了采用边缘计算技术的等级保护对象第一级到第四级安全扩展要求，覆盖物理环境、通信网络、区域边界、计算环境等层面，需与GB/T 22239-2019安全通用要求结合使用，适用于运营使用单位、测评机构开展边缘计算系统安全建设与等级测评。
GA/T 1390.7-2025 信息安全技术 网络安全等级保护基本要求 第7部分：大数据系统安全扩展要求
由公安部2025年第1号公共安全行业标准公告批准发布、2026年2月1日起实施的推荐性行业标准，是网络安全等级保护基本要求在大数据场景的扩展。标准规定了大数据系统的等级保护对象第一级到第四级安全扩展要求，针对数据采集、存储、处理、交换、销毁全生命周期提出安全保护要求，需与GB/T 22239-2019安全通用要求结合使用，为大数据平台运营者和测评机构提供合规依据。
GA/T 1390.8-2025 信息安全技术 网络安全等级保护基本要求 第8部分：IPv6安全扩展要求
由公安部2025年第1号公共安全行业标准公告批准发布、2026年2月1日起实施的推荐性行业标准，是网络安全等级保护基本要求在IPv6网络场景的扩展。标准规定了采用IPv6技术的等级保护对象第一级到第四级安全扩展要求，针对IPv6协议特性带来的地址结构、邻居发现、过渡机制等新增风险提出防护要求，需与GB/T 22239-2019安全通用要求结合使用，指导IPv6网络安全建设与测评。
GA/T 1390.9-2025 信息安全技术 网络安全等级保护基本要求 第9部分：区块链安全扩展要求
由公安部2025年第1号公共安全行业标准公告批准发布、2026年2月1日起实施的推荐性行业标准，是网络安全等级保护基本要求在区块链场景的扩展。标准规定了区块链等级保护对象第一级到第四级安全扩展要求，适用于联盟链和私有链的安全建设和监督管理，针对共识机制、智能合约、密码应用、节点管理等方面提出要求，需与GB/T 22239-2019安全通用要求结合使用。
GA/T 2347-2025 信息安全技术 网络安全等级保护云计算测评指引
由公安部2025年第1号公共安全行业标准公告批准发布、2026年2月1日起实施的推荐性行业标准。标准以GB/T 22239-2019为基础，给出云计算平台和云服务客户业务应用系统开展网络安全等级保护测评活动的指引，细化不同云计算服务模式下信息收集与分析、测评对象确定、测评指标选择等任务，适用于网络安全检测评估机构开展云计算系统等级测评，网络安全监管部门参照使用。
GA/T 2348-2025 信息安全技术 网络安全等级保护5G接入安全测评要求
由公安部2025年第1号公共安全行业标准公告批准发布、2026年2月1日起实施的推荐性行业标准。标准规定了采用5G技术的边缘计算网络系统（不含运营商核心网）第一级到第四级安全测评扩展要求，需与GB/T 28448-2019安全测评通用要求结合使用，适用于检测评估机构、运营使用单位及主管部门对5G边缘计算系统安全状况开展测评，也供网络安全职能部门监督检查时参考。
GB/Z 268-2026 物联网 可信原则
国家标准化管理委员会 2026 年第 40 号公告发布的国家标准化指导性技术文件，2026 年 9 月 24 日发布并实施。该文件面向物联网领域提出可信原则，从身份可信、数据可信、行为可信与信任传递等维度构建总体框架，明确设备、平台、应用各层的可信责任与实现路径，为物联网数据采集、传输、存储与共享环节的完整性、真实性和可追溯性提供技术依据。
GB/Z 273.1-2026 算力中心储能系统 第1部分：选型指南
国家标准化管理委员会 2026 年第 40 号公告发布的国家标准化指导性技术文件，2026 年 9 月 24 日发布并实施。该文件是算力中心储能系统系列标准的第 1 部分，给出储能系统选型指南，针对智算中心高功率密度、负荷波动大的用电特征，明确电化学储能等技术的容量配置、功率响应、安全防护与并网协调要求，为算力基础设施的能源保障与绿色低碳运行提供技术支撑。
GB/Z 278-2026 区块链和分布式记账技术 分布式身份管理系统概述
国家标准化管理委员会 2026 年第 40 号公告发布的国家标准化指导性技术文件，2026 年 9 月 24 日发布并实施。该文件概述区块链和分布式记账技术领域的分布式身份管理系统，梳理分布式标识符、可验证凭证、身份钱包与信任锚点等核心概念及其关系，给出系统参考架构与典型交互流程，为政务、金融等场景下基于区块链的身份可信管理与数据授权提供框架性依据。
GB/T 48205-2026 核电厂仪表和控制系统核安全与网络安全协调要求
国家标准化管理委员会 2026 年第 43 号公告发布的推荐性国家标准，2026 年 9 月 28 日发布，2027 年 4 月 1 日实施。该标准规定核电厂仪表和控制系统核安全与网络安全的协调要求，明确安全分级、纵深防御、安全通信、访问控制与事件响应的协同设计原则，要求网络安全措施不得削弱核安全功能，为核电厂数字化控制系统的合规设计与审查提供依据。
GB/T 48271-2026 船舶与海上技术 船载网络安全风险评估方法
国家标准化管理委员会 2026 年第 43 号公告发布的推荐性国家标准，2026 年 9 月 28 日发布，2027 年 4 月 1 日实施。该标准规定船舶与海上技术领域船载网络的安全风险评估方法，明确船载信息系统的资产识别、威胁建模、脆弱性分析与风险等级判定流程，覆盖导航、通信、动力控制等关键系统，为航运企业开展船载网络安全自查与合规整改提供方法依据。
GB/T 47323-2026 IPv6地址分配和编码规则 非服务商网络
本标准由国家标准化管理委员会于2026年3月31日发布，2026年10月1日起实施，为推荐性国家标准。文件规定了非服务商网络中IPv6地址的分配与编码规则，明确了地址结构、分配原则、编码方法以及地址规划与管理要求。作为网络基础设施领域基础标准，它为各类企业、机构和政务网络开展IPv6规模部署与地址精细化管理提供技术依据，有助于提升网络可追溯性、可管理性与网络安全治理水平。
GB/T 47698-2026 工业互联网 协同制造平台安全完整性评估规范
本标准由国家标准化管理委员会于2026年5月25日发布，2026年12月1日起实施，为推荐性国家标准。文件规定了工业互联网协同制造平台安全完整性的评估规范，明确了评估对象、评估指标、评估方法与流程以及评估结论的表示方式，覆盖平台数据安全、身份认证、访问控制、供应链协同等关键环节。标准为平台安全能力评价与持续改进提供技术依据，支撑制造业数据安全与网络安全保障。
GB/Z 299-2026 人工智能操作系统通用技术要求
国家标准化管理委员会 2026 年第 40 号公告发布的国家标准化指导性技术文件，2026 年 9 月 24 日发布并实施。该文件规定人工智能操作系统的通用技术要求，涵盖异构算力抽象、模型运行环境、智能体调度、多模态数据处理与系统安全等能力，明确与上层应用及底层硬件的接口约定，为终端与边缘侧人工智能操作系统的研发和评测提供技术依据。
GB/T 34994.1-2026 可信教育数字身份 第1部分：教育卡技术要求
国家标准化管理委员会 2026 年第 43 号公告发布的推荐性国家标准，2026 年 9 月 28 日发布，2027 年 4 月 1 日实施，代替 GB/T 34994.1-2017。该标准规定可信教育数字身份体系第 1 部分教育卡的技术要求，明确教育卡的身份标识、数据模型、安全芯片、读写接口与生命周期管理规则，规范持卡人个人信息的最小化采集与授权使用，支撑教育数据跨系统可信共享。
GB/T 47502-2026 分布式计算 计算设备技术要求
本标准由国家标准化管理委员会于2026年4月30日发布，2026年11月1日起实施，为推荐性国家标准。文件规定了分布式计算场景下计算设备的技术要求，涵盖设备功能、性能指标、接口与互联、可靠性与可维护性、能效以及安全要求等方面。标准为分布式算力设备的设计、生产、检测和选型提供统一技术依据，有助于提升算力资源协同效率，为人工智能与大数据应用提供基础设施支撑。
GB/T 35299-2026 信息技术 开放系统互连 对象标识符解析系统
本标准由国家标准化管理委员会于2026年7月2日发布，2027年2月1日起实施，属推荐性国家标准。文件规定了开放系统互连环境下对象标识符（OID）解析系统的技术要求，涵盖解析体系架构、标识注册与管理、解析服务接口、运行维护及安全要求等内容。标准为各行业建设OID解析节点、实现标识数据互联互通提供统一依据，是数据要素标识、产品追溯和数字身份基础设施的重要技术支撑。
GB/T 48349.1-2026 信息技术 数字视网膜系统 第1部分：系统结构和通信协议
GB/T 48349.1—2026《信息技术 数字视网膜系统 第1部分：系统结构和通信协议》于2026年9月28日经国家市场监督管理总局、国家标准化管理委员会批准发布，2027年4月1日起实施。标准规定数字视网膜系统的总体结构、功能组成与通信协议，为端—边—云协同的视觉智能系统建设及视频图像数据的采集、传输与处理提供统一技术框架。
GB/T 48349.3-2026 信息技术 数字视网膜系统 第3部分：端子系统
GB/T 48349.3—2026《信息技术 数字视网膜系统 第3部分：端子系统》于2026年9月28日经国家市场监督管理总局、国家标准化管理委员会批准发布，2027年4月1日起实施。标准规定数字视网膜系统端侧子系统的功能、性能与接口要求，规范端侧视频图像数据的采集处理与特征编码，为视觉智能前端设备的数据处理与安全传输提供技术依据。
GB/T 48349.4-2026 信息技术 数字视网膜系统 第4部分：边子系统
GB/T 48349.4—2026《信息技术 数字视网膜系统 第4部分：边子系统》于2026年9月28日经国家市场监督管理总局、国家标准化管理委员会批准发布，2027年4月1日起实施。标准规定数字视网膜系统边缘子系统的功能、性能与接口要求，规范边缘侧视频图像数据的汇聚、分析与协同处理，为端边云协同视觉智能系统的建设与运维提供技术规范。
网络安全标准实践指南-敏感个人信息识别指南
本实践指南依据个人信息保护法、网络安全法、数据安全法等法律法规制定，给出敏感个人信息识别规则，明确一旦泄露或非法使用容易导致人格尊严、人身安全或财产安全受到侵害的个人信息应识别为敏感个人信息，列举生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹及未成年人个人信息等常见类别和示例，为组织开展敏感个人信息识别与保护工作提供指引。
网络安全标准实践指南-个人信息保护合规审计 专业机构服务能力要求
本实践指南规范承担个人信息保护合规审计服务的专业机构能力要求，从基本条件、管理能力、专业能力、人员能力和场所设备资源能力五个方面提出要求，涵盖机构资质、管理制度、风险控制、业务持续、人员分级与数量、培训学时、审计工具、环境安全等内容，为专业机构建设服务能力和个人信息处理者选择合适机构提供参考依据。
网络安全标准实践指南-个人信息保护合规审计要求
本实践指南依据个人信息保护法及相关法规标准制定，提出个人信息保护合规审计原则与总体要求，规定审计准备、实施、报告、问题整改和归档流程，详细规定处理合法性、规则规范、告知义务、共同与委托处理、自动化决策、敏感信息、未成年人信息、跨境提供、删除权、主体权利响应、内部制度、安全技术措施、影响评估、应急预案、事件处置、大型平台规则和社会责任报告等审计内容与方法。
网络安全标准实践指南-移动互联网应用程序(App)收集使用个人信息自评估指南
本指南依据网络安全法等法律法规及相关标准，针对移动互联网应用程序收集使用个人信息行为提出六项自评估要点，包括公开收集使用规则、明示目的方式范围、征得用户同意、遵循必要原则、经同意向他人提供信息、提供删除更正及投诉举报渠道，为App运营者和小程序快应用等开展个人信息保护自评估提供实践指引。
网络安全标准实践指南-个人信息跨境处理活动安全认证规范(V2.0)
本规范作为个人信息跨境处理活动个人信息保护认证的依据，明确合法正当必要诚信、公开透明、信息质量保障、同等保护、责任明确、自愿认证等基本原则，规定法律约束力文件、组织管理、跨境处理规则、个人信息保护影响评估等要求，保障个人信息主体知情权、决定权、删除权、投诉举报及司法救济等权益，适用于认证机构开展认证和运营者规范跨境处理活动。
网络安全标准实践指南-粤港澳大湾区(内地、香港)个人信息跨境处理保护要求 (V1.0)
本文件为促进粤港澳大湾区内地与香港个人信息跨境安全有序流动提供指引，规定合法正当诚信、最小必要、公开透明、权益保障、确保安全、责任明确等基本原则，明确个人信息收集、存储、使用、加工、委托处理、提供、公开及跨境传输等处理要求，以及个人信息主体权利保障、安全管理措施和跨境安全互认认证认可安排，适用于大湾区内地与香港间的个人信息跨境处理活动。
网络安全实践指南-移动互联网应用基本业务功能必要信息规范
本指南依据网络安全法等法律法规及相关国家标准，围绕移动互联网应用程序收集使用个人信息行为，从公开收集使用规则、明示目的方式范围、征得用户同意、遵循必要原则、经同意向他人提供信息、提供删除更正及投诉举报渠道六个方面提出自评估要求，为App运营者及小程序快应用等规范个人信息处理活动提供实践指引。
网络安全标准实践指南-移动互联网应用程序(App)个人信息保护常见问题及处置指南
本指南针对移动互联网应用程序个人信息保护中存在的未说明收集目的类型方式、隐私政策未明示同意、超范围收集、强制捆绑授权、未经同意收集、申请权限未同步告知目的、实际行为与声明不一致、未经同意向第三方提供、未提供删除更正投诉渠道、未提供有效注销途径等十大常见问题，逐一描述典型情形并提出具体处置建议，供App提供者开发者和分发平台等防范处置参考。
网络安全标准实践指南-移动互联网应用程序(App)系统权限申请使用指南
本实践指南针对移动互联网应用程序申请使用系统权限中存在的强制、频繁、过度索权及捆绑授权等问题，提出了最小必要、用户可知、不强制不捆绑、动态申请等基本原则和通用要求，并针对安卓系统日历、通话记录、相机、通讯录、位置、麦克风、电话、传感器、短信、存储等十类典型权限的申请使用场景、目的及限制条件作出具体规定，旨在规范App系统权限申请使用行为，防范个人信息安全风险。
网络安全标准实践指南-摇一摇广告触发行为安全要求
本实践指南针对App开屏摇一摇广告触发阈值过低、将用户走路乘车或拿起放下手机等日常动作误识别为广告点击而乱跳转的问题，提出了合法性、透明性、适度性和个人信息保护原则，要求广告标识显著、操作结果明确、跳转灵敏度阈值设置合理以避免非自愿触发，并在App设置中提供便捷的关闭渠道，以保障用户对摇一摇广告的知情权和选择权。
网络安全标准实践指南-移动互联网应用程序(App)使用软件开发工具包(SDK)安全指引
本实践指南分析了App使用SDK过程中面临的安全漏洞、恶意行为及违法违规收集使用个人信息等常见安全问题，明确了App用户、App提供者和SDK提供者等相关方责任，提出了权责一致、目的明确、选择同意、最小必要、公开透明、确保安全等基本原则，并从安全选型、嵌入审查、运行监测、信息披露、用户同意等方面给出了具体安全措施，旨在减少因SDK造成的App安全与个人信息保护风险。
网络安全标准实践指南-扫码点餐个人信息保护要求
针对餐饮行业扫码点餐场景中的个人信息保护提出技术要求和最佳实践。明确商家不得强制用户授权范围外的个人信息（如位置、相册等）、不得以扫码点餐为由过度收集个人信息、须提供不授权个人信息也能点餐的替代方式等合规要求。
网络安全标准实践指南-人脸识别支付场景个人信息安全保护要求
本指南针对人脸识别支付场景提出个人信息安全保护要求，明确支付服务提供者、收单机构、终端设备厂商等主体责任，规范人脸信息采集、存储、比对、传输与删除等环节，要求取得用户单独同意、采取加密与不可逆处理、建立安全审计与事件应急机制，防范人脸信息泄露、冒用与欺诈风险，保障支付安全与用户合法权益。
信息安全技术 - 网络安全等级保护基本要求
本标准规定网络安全等级保护的基本要求，明确等级保护对象的安全通用要求及云计算、移动互联、物联网、工业控制系统等安全扩展要求，涵盖安全物理环境、通信网络、区域边界、计算环境、管理中心与安全管理制度，要求按定级开展安全建设、测评、整改、持续运营及安全运营，提升整体安全防护能力，适用于指导网络安全等级保护工作。
网络安全标准实践指南 - 移动互联网应用程序 (App) 收集使用个人信息自评估指南
本指南为App运营者提供个人信息收集使用自评估方法，明确评估目的、原则与流程，围绕隐私政策、告知同意、收集范围、使用目的、用户权利保障、第三方共享、安全措施等维度设计评估要点，帮助组织识别合规差距、制定整改措施、开展合规培训并持续改进，提升个人信息保护能力，推动行业合规发展，适用于App自评估与第三方评估参考。
信息安全技术 - 网络数据处理安全要求
本标准规定网络数据处理安全要求，明确网络运营者开展数据收集、存储、使用、加工、传输、提供、公开、删除等活动的安全义务，要求建立数据分类分级保护、风险评估、安全审计与事件应急机制，规范个人信息、重要数据与第三方应用管理，细化数据主体权利响应与持续改进要求，适用于网络数据处理活动的安全建设与合规管理。
网络安全标准实践指南 - 移动互联网应用程序 (App) 中的第三方软件开发工具包 (SDK) 安全指引
本实践指南针对移动互联网应用程序使用软件开发工具包过程中面临的安全风险，明确App用户、App提供者和SDK提供者三方角色与责任，梳理SDK自身安全漏洞、恶意行为以及违法违规收集使用个人信息等常见问题，提出最小必要、公开透明、权责一致等安全原则，分别给出App提供者选型评估、嵌入集成、安全检测和SDK提供者设计开发、发布运维、更新升级等安全措施。
网络安全标准实践指南 - 移动互联网应用程序 (App) 系统权限申请使用指引
本实践指南依据网络安全法律法规和政策标准要求，归纳总结App个人信息保护十大常见问题，包括未说明收集使用目的、超范围收集、强制捆绑授权、未经同意收集、申请权限未同步告知目的、实际行为与声明不一致、未提供有效账号注销途径等，针对每类问题给出典型情形识别方法和具体处置建议，帮助App提供者防范、发现和整改个人信息保护合规风险。
信息安全技术 网络安全保险应用指南
本标准描述网络安全保险的目的、作用、主要角色责任与基本应用流程，界定保险人、投保人、被保险人和服务方等主体职责，明确可承保恶意程序、网络攻击、数据安全、违规操作等网络安全事件以及第一方直接经济损失、应急响应费用、第三者法定赔偿责任等损失类型，给出投保前风险评估、保险期间风险控制、出险后事件评估与理赔等方法指引。
信息安全技术 恶意软件事件预防和处理指南
本指南提供了恶意软件事件的预防与处理指导，明确恶意软件、病毒、蠕虫、木马、勒索软件、后门、间谍软件、Rootkit等术语定义，要求组织建立事件响应团队，开展风险评估、安全培训、技术防护和监测预警，规范事件识别、遏制、根除、恢复、跟踪等处置流程，强调数据备份恢复、溯源取证、信息共享和漏洞修复，适用于各类组织防范和应对恶意软件引发的信息安全事件，提升整体安全防护能力。
信息安全技术 关键信息基础设施网络安全保护基本要求
本标准规定了关键信息基础设施安全保护的基本要求，建立分析识别、安全防护、检测评估、监测预警、主动防御、事件处置等核心活动体系，明确运营者应开展业务、资产、风险识别和重大变更管理，落实等级保护、安全管理制度、机构人员、通信网络、计算环境、供应链和数据安全等保护措施，强化暴露面收敛、攻击发现阻断、攻防演练和威胁情报应用，提升关键信息基础设施整体网络安全防护能力。
网络安全标准实践指南 - 网络数据分类分级指引
本实践指南依据数据安全法要求，给出网络数据分类分级的原则、框架和方法。数据分类采用面分类法，从公民个人、公共管理、信息传播、行业领域、组织经营等维度进行识别划分。数据分级按照危害程度将数据分为一般数据、重要数据、核心数据三个级别，遵循合法合规、分类多维、分级明确、就高从严、动态调整等原则，适用于指导数据处理者开展分类分级工作，也可为主管监管部门提供参考。
网络安全标准实践指南 - 网络数据安全风险评估实施指引
本指南依据网络安全法、数据安全法、个人信息保护法及相关国家标准，提出网络数据安全风险评估的思路、流程与内容，围绕数据安全管理、数据处理活动、数据安全技术和个人信息保护等方面识别风险隐患，适用于数据处理者自评估、第三方机构评估及监管部门检查评估，旨在发现数据安全问题、防范安全风险、提升整体数据安全保护水平。
工业互联网企业网络安全 第3部分:标识解析企业防护要求
本标准面向工业互联网标识解析企业，依据企业网络安全级别划分，规定设备和系统、网络、业务和应用、安全管理及物理环境等方面的初始级、基本级和增强级防护要求，适用于标识解析企业开展网络安全分类分级防护工作，指导企业建设与自身级别相适应的安全防护体系，提升工业互联网标识解析节点的安全保障能力。
网络安全标准实践指南 - 车外画面局部轮廓化处理效果验证
该指南针对汽车车外画面的人脸、车牌局部轮廓化处理效果提供验证方法，适用于汽车数据处理者自验及第三方机构验证。文件规定了验证流程、测试道路与光照条件、样本数量、效果验证方法及通过标准，要求采用算法检测与人工肉眼相结合的方式，统计未通过率并形成验证结论，同时附录给出验证准备、位置信息文件格式和检测算法选取要求。
信息安全技术 网络安全产品互联互通框架
该标准确立网络安全产品互联互通框架，适用于网络安全产品的设计、开发和应用。框架包括互联互通功能与信息两类内容，功能分为识别、防护、监测、处置四类并给出功能接口要求，信息包括资产、脆弱性、威胁、行为、告警、事件六类，附录提供多级安全管理系统、安全管理系统与产品、不同产品间互联互通的典型应用场景及HTTP接口实现示例。
网络安全标准实践指南 - 生成式人工智能服务内容标识方法
该指南为落实生成式人工智能服务管理暂行办法的标识要求，给出文本、图片、音频、视频四类生成内容的标识方法。要求在交互界面或背景添加显式水印提示，图片视频须添加隐式水印，文件输出时应在元数据中添加扩展字段记录服务提供者、生成时间和内容ID，并在人工智能替代自然人服务可能造成混淆时进行提示。
网络安全标准实践指南 —— 大型互联网平台网络安全评估指南
该指南从影响社会稳定和公共利益的角度，提出大型互联网平台网络安全评估的内容和方法，适用于大型互联网平台开展网络安全评估。评估由平台主要负责人领导的工作组组织实施，包括年度评估和重要事项评估，内容涵盖核心业务连续性、灾难恢复能力、关键软硬件供应链安全、对外提供数据可控性、数据泄露应急处置、平台控制权和用户权益保护等方面。
信息安全技术 云计算服务安全能力评估方法
该标准是云计算服务安全能力要求的配套评估规范，适用于第三方评估机构对云服务商开展评估及云服务商自评估。文件依据安全能力要求，从系统开发与供应链安全、系统与通信保护、访问控制、数据保护、配置管理、维护管理、应急响应、审计、风险评估与持续监控、安全组织与人员、物理与环境安全等方面给出评估方法。
网络安全技术 终端计算机通用安全技术规范
该标准规定终端计算机通用安全技术要求和测试评价方法，适用于终端计算机安全功能的设计、开发、测试和评价。文件将终端计算机分为基本级和增强级，安全功能包括硬件接口安全、BIOS固件安全、个人信息安全、身份标识与鉴别、访问控制、运行时防护、安全审计、安全性分析、备份恢复、可信度量、无线安全和配置基线检查等。
网络安全技术 存储介质数据恢复服务安全规范
该标准确立存储介质数据恢复服务的安全原则、管理要求和实施要求，适用于非涉密数据恢复服务的实施管理、机构自评价和第三方监督评审。文件遵循合规、可用、保密、完整、可审计和分级原则，从机构、人员、环境、设施设备、质量控制、安全审计等方面提出管理要求，并规范介质接收、检测、恢复、交付和销毁等全环节安全实施要求。
网络安全技术 网络弹性评价准则
该标准给出网络弹性评价指标体系和评价方法，适用于组织的网络弹性自评价、第三方评价及设计建设提升。网络弹性包括预防、承受、恢复和适应四类能力，细分为态势感知、检查分析、协同防御、供应链管理、应急响应、损失限制、遏制、生存性、灾难备份、业务连续性、数据与业务恢复、自主管理、重构、节点适应性和网络适应性等三级指标。
网络安全技术 人工智能生成合成内容标识方法
配套《人工智能生成合成内容标识办法》的强制性国家标准，2025年2月28日发布、9月1日实施，由中央网信办提出并归口、全国网络安全标准化技术委员会执行。标准规定了人工智能生成合成内容显式标识与隐式标识的方法：显式标识须同时含人工智能要素与生成合成要素，图片、视频标识文字高度不低于画面最短边5%、视频持续不少于2秒；隐式标识须在文件元数据中写入生成合成标签、服务提供者与制作编号等要素。
网络安全技术 生成式人工智能预训练和优化训练数据安全规范
该标准规定生成式人工智能预训练和优化训练数据及其处理活动的安全要求，适用于服务提供者开展相关数据处理活动和安全自评估。文件提出通用安全要求，并从数据收集、预处理、使用等环节分别规定预训练数据和优化训练数据的安全要求，涵盖数据来源管理、违法不良信息过滤、个人信息保护、知识产权管理、投毒数据检测和真实性评估等内容。
网络安全技术 生成式人工智能服务安全基本要求
该标准规定生成式人工智能服务在训练数据安全、模型安全、安全措施等方面的基本要求，适用于服务提供者开展相关活动及主管部门和第三方评估机构参考。训练数据安全包括数据来源安全、内容管理和数据标注安全；模型安全涵盖训练、输出、监测测评、更新升级和环境安全；安全措施要求涉及服务适用人群、透明度、用户投诉举报、服务稳定性、端侧模型服务等。
网络安全技术 生成式人工智能数据标注安全规范
该标准规定生成式人工智能训练数据标注的平台或工具安全、标注规则安全、标注人员要求和标注核验要求，适用于数据标注组织方开展训练数据标注及需求方验收、第三方安全评估。文件明确数据标注人员安全培训、任务分配和人员管理要求，区分功能性标注与安全性标注，提出标注结果核验、重新标注、质量及安全性评估方法。
网络安全标准实践指南 —— 人工智能生成合成内容标识方法 文件元数据隐式标识视频文件
为人工智能生成合成内容的视频文件元数据隐式标识提供技术方法，通过在视频文件的元数据中嵌入数字标识信息，实现AI生成合成视频内容的溯源识别和真伪鉴别。（实践指南）
网络安全标准实践指南 —— 人工智能生成合成内容标识方法 文件元数据隐式标识安全防护技术指南
为人工智能生成合成内容的文件元数据隐式标识提供安全防护技术指南，防范标识信息被恶意篡改、删除或伪造，确保生成合成内容的标识体系具备足够的安全防护能力，是标识技术体系的完整性保障。（实践指南）
网络安全标准实践指南 —— 人工智能生成合成内容检测技术指南
为人工智能生成合成内容的检测提供技术指南，涵盖基于统计特征、深度学习、数字水印等多类检测技术的原理、适用范围和效果评估方法，帮助审核人员和公众识别AI生成的合成内容。（实践指南）
个人信息出境标准合同备案指南（第二版）
该指南指导和帮助个人信息处理者规范备案个人信息出境标准合同，适用于非关键信息基础设施运营者且出境个人信息规模符合规定条件的数据处理者。文件明确适用范围、备案方式与流程、所需材料、标准合同范本及个人信息保护影响评估报告模板，要求自合同生效之日起十个工作日内通过数据出境申报系统向省级网信部门备案。
工业互联网企业网络安全 第2部分:平台企业防护要求
规定工业互联网平台企业的网络安全防护要求，包括平台企业应建立的安全管理制度、技术防护措施、数据安全保护、安全监测预警和应急处置等要求。是工业互联网安全标准体系的重要组成部分，适用于工业互联网平台企业的网络安全规划、建设和运维。
工业互联网企业网络安全 第1部分:应用工业互联网的工业企业 防护要求
规定应用工业互联网的工业企业的网络安全防护要求，包括工业企业联网后的网络安全管理制度、边界防护、访问控制、安全监测、数据安全保护等要求。适用于应用工业互联网开展生产运营的各类工业企业的安全规划、建设和管理。
关于加强智能网联汽车生产企业及产品准入管理的意见
压实智能网联汽车企业主体责任，要求建立汽车数据安全和网络安全管理制度，实施数据分类分级、境内存储、出境安全评估，规范OTA在线升级备案和申报程序，禁止未经审批新增或更新自动驾驶功能，加强驾驶辅助和自动驾驶功能安全管理，明确事件数据记录、功能安全、预期功能安全和网络安全测试要求，企业须建立自查机制并及时整改报告。
数据出境安全评估申报指南（第三版）
根据数据出境安全评估办法和促进规范数据跨境流动规定制定，明确关键信息基础设施运营者和自当年起累计向境外提供100万人以上个人信息或1万人以上敏感个人信息的处理者应申报安全评估，规定线上申报流程、材料要求、完备性查验、受理、评估、复评及有效期延长申请条件与程序，数据处理者须对材料真实性负责。
信息安全技术 数据库管理系统安全技术要求
规定数据库管理系统的安全功能要求、安全保障要求和安全等级划分。涵盖安全审计、访问控制、数据加密、数据脱敏、安全标记等安全功能，对数据存储和处理环节的安全合规具有重要技术指导意义。
信息安全技术 网络安全漏洞管理规范
规定网络安全漏洞管理的基本流程，包括漏洞的发现、评估、修补、验证和发布等环节。对漏洞管理组织机构、管理流程、管理要求等提出规范，适用于各类组织安全漏洞管理工作。
政务移动互联网应用程序管理要求（强制性国家标准征求意见稿）
中央网络安全和信息化委员会办公室2026年6月26日发布的强制性国家标准征求意见稿，意见反馈截止2026年8月25日。标准依据国家标准化管理委员会下达的强制性国家标准制订计划编制，由中央网信办组织起草完成，同步公开征求意见稿、编制说明及强制性国家标准反馈意见表，是继《互联网政务应用安全管理规定》之后政务应用领域又一项强制性国家标准，旨在规范政务移动互联网应用程序的建设与管理。
数据基础设施 运营管理要求（征求意见稿）
全国数据标准化技术委员会2026年8月20日公开征求意见的9项数据基础设施技术文件之一，意见截止9月3日。文件规定数据基础设施建成后的运营管理要求，覆盖接入主体管理、运行维护、安全监测与应急处置等日常运营环节，与智能体交互技术要求、可信数据空间业务实施指南、绩效评价指南共同构成数据基础设施“治理与运营线”的四项软规则。
全国一体化算力网 安全保护要求（征求意见稿）
全国数据标准化技术委员会2026年9月1日发布的13项国家标准化指导性技术文件征求意见稿之一，依据国家标准化管理委员会2026年1月、2月下达的立项计划编制，意见反馈截止10月1日。文件规定全国一体化算力网的安全保护要求，与监测调度平台建设指南、算力并网技术要求、智算算力池化技术要求等12项文件共同构成算力网从调度、并网、计量到安全的完整标准化指导体系。
GB/Z 246-2026 人工智能 算力平台通用技术要求
2026年8月27日随第37号国家标准公告发布，由山东港口青岛港集团牵头，联合中国电子技术标准化研究院、中国海洋大学、中国交通信息科技集团、信创海河实验室等单位起草。文件规定人工智能算力平台的通用技术要求，涵盖异构算力纳管、资源调度、作业编排、存储与网络、计量计费、高可用与安全防护等，为智算中心与行业算力平台建设、评测与互联互通提供统一技术依据。
GB/Z 249-2026 人工智能 港口算力基础设施通用技术要求
2026年8月27日随第37号国家标准公告发布。文件面向港口场景的算力基础设施，规定其总体架构、算力与存储资源配置、网络互联、边缘节点部署、能耗管理与安全防护等通用技术要求，覆盖岸桥、堆场、闸口等作业环节的边缘算力需求，为智慧港口算力底座的规划建设与运行维护提供统一标准，与GB/Z 239港口大模型技术要求配套。
GB/Z 251-2026 人工智能 智算集群异构人工智能加速器混合训练技术要求
2026年8月27日随第37号国家标准公告发布。文件针对智算集群中不同厂商、不同架构AI加速器协同训练的痛点，规定异构算力统一抽象、通信互联、并行策略切分、任务调度与容错恢复等技术要求，明确混合训练过程中的性能与精度一致性验证方法，为提升国产异构算力集群利用率、降低大模型训练对单一芯片的依赖提供标准支撑。
GB/Z 252-2026 人工智能 大模型一体机技术要求
2026年8月27日随第37号国家标准公告发布。文件面向软硬件一体的大模型一体机产品，规定其硬件配置、软件栈、模型纳管、推理服务、运维监控与安全隔离等要求，明确数据本地化处理、模型与知识资产保护、访问审计等安全特性，为政企客户私有化部署大模型、实现数据不出域提供选型与验收依据，适用于对数据安全要求较高的行业场景。
YD/T 7343-2026 电信网和互联网数据安全日志审计测试方法
工信部公告2026年第22号批准发布的通信行业标准，2026年12月1日实施。标准规定基于数据生命周期各环节数据访问和操作日志的审计工作的测试方法，以及数据安全日志审计技术能力的测试方法，适用于数据安全日志审计系统的提供商、使用用户、测评机构和监管机构开展数据安全日志审计的测试工作，支撑数据处理活动可追溯与合规举证。
YD/T 7348-2026 基础电信企业数据安全监测预警与处置实施指南
工信部公告2026年第22号批准发布的通信行业标准，2026年12月1日实施。标准制定基础电信企业数据安全监测、预警和处置的实施过程与实施方法，并结合基础电信企业实际场景提出所需的技术支撑，适用于指导基础电信企业数据安全监测、预警和处置能力建设，不适用于数据中心中第三方数据，是数据安全事件响应的前置规范。
YD/T 7279-2026 5G网络建设数据安全要求
工信部公告2026年第22号批准发布的通信行业标准，2026年12月1日实施。标准规定5G网络建设数据安全要求，包括网络建设不同阶段产生的数据及对应的数据处理者、数据处理者之间的授权关系、网络建设单位对建网数据的安全管理要求，适用于5G网络规划、建设和维护阶段中产生的建设数据的安全保护，覆盖多方委托处理场景。
YD/T 7178-2026 算力网络安全 基于零信任的安全框架
工信部公告2026年第22号批准发布的通信行业标准，2026年12月1日实施。标准给出基于零信任的算力网络安全框架，并规定框架中应用层、编排层、调度层、基础设施层等各模块的主要内容，适用于云计算服务商、算力基础设施运营商等企业开展基于零信任的算力网络安全框架的规划、建设与运营，与算力并网安全等标准配套。
GB/T 48092-2026 国家网络身份认证公共服务 网络身份认证服务接口技术要求
2026年8月28日随第38号国家标准公告发布。文件规定国家网络身份认证公共服务对外提供的身份认证服务接口的技术要求，涵盖接口协议、鉴权流程、凭证格式、返回码约定与安全传输，明确最小必要与目的限定原则下的身份信息核验方式，支撑互联网平台以网号网证替代明文身份信息的实名认证，从技术层面减少个人身份信息的过度采集与留存，是个人信息保护的重要基础设施标准。
网络安全技术 工业控制网络监测安全技术要求及测试评价方法（征求意见稿）
全国网络安全标准化技术委员会2026年8月26日启动征求意见的国家标准，意见截止10月25日。文件针对工业控制网络，规定安全监测系统的部署要求、数据采集范围、威胁检测能力、告警与处置流程，以及相应的测试评价方法，明确监测过程中对生产工艺数据与控制指令的保护要求，避免因安全监测本身引入新的风险，为工业企业与测评机构建设、验收工控网络安全监测能力提供统一依据。
网络安全技术 工业控制系统安全管理基本要求（征求意见稿）
全国网络安全标准化技术委员会2026年8月26日启动征求意见的国家标准，意见截止10月25日，与工业控制网络监测安全标准同批。文件规定工业控制系统安全管理的基本要求，覆盖资产识别、分区分域、访问控制、账户与权限、漏洞与补丁、移动介质、远程运维、应急响应与供应商管理等环节，明确责任主体与制度建设要点，为工业企业建立工控安全管理体系提供框架性依据。
网络安全技术 网络安全事件管理 第4部分：协同（征求意见稿）
全国网络安全标准化技术委员会2026年8月26日启动征求意见的国家标准，意见截止10月25日，属网络安全事件管理系列标准第4部分。文件规定多组织之间协同处置网络安全事件的流程与要求，涵盖事件信息共享、通报预警、协同研判、联合处置与复盘改进，明确参与方的角色分工、信息交换格式与保密边界，为跨企业、跨行业、跨部门的网络安全事件协同应对提供统一规范。
网络安全技术 桌面云安全技术要求（征求意见稿）
全国网络安全标准化技术委员会2026年8月26日启动征求意见的国家标准，意见截止10月25日。文件面向桌面云（云桌面）系统，规定其安全功能要求，覆盖终端接入认证、虚拟化隔离、镜像与快照保护、外设重定向管控、数据不落地与水印溯源等，明确管理员权限审计与用户数据销毁要求，为政企采用桌面云承载办公与敏感数据处理场景提供安全建设与测评依据。
规范性文件
国家网络安全事件报告管理办法
国家互联网信息办公室于2025年9月11日发布《国家网络安全事件报告管理办法》，共十四条，自2025年11月1日起施行，附《网络安全事件分级指南》。办法按主体分类设定报告时限：涉及关键信息基础设施的须在一小时内报保护工作部门与公安机关，重大及以上事件半小时上报国家网信部门。办法明确报告内容要素、12387热线等六类报告渠道，对迟报、漏报、谎报、瞒报造成重大危害后果的从重处罚。
关于印发《实施网络安全标识的产品目录（第一批）》及相关实施规则的通知
国家互联网信息办公室、工业和信息化部、公安部2026年6月15日联合印发《实施网络安全标识的产品目录（第一批）》及相关实施规则（国信办通字〔2026〕3号）。首批实施产品为消费类网联摄像头，产品生产者按自愿原则获得网络安全标识，网络安全能力分为基础级、增强级、领先级三个等级。中国电子技术标准化研究院承担标识备案、信息发布等工作，全国网安标委同步制定消费类网联摄像头安全要求作为标准依据。
松江区信息基础设施管理办法
上海市松江区数据局2026年9月4日印发（沪松数〔2026〕34号），自印发之日起实施、有效期5年。办法依据《上海市信息基础设施管理办法》（上海市人民政府令第75号）制定，明确区数据局负责本区信息基础设施的协调推进与监督管理，规范布局方案编制、规划衔接、配套共建共享与安全保护，要求配套信息基础设施与建设工程同步规划、同步设计、同步施工、同步验收。
交通运输数据安全管理办法
交通运输部2026年6月18日印发，自7月1日起实施，共六章四十一条。办法坚持“谁管业务、谁管业务数据、谁管数据安全”和属地管理原则，明确部级、省级及部属单位分级监管职责，要求数据处理者承担数据安全主体责任、加强全生命周期保护；鼓励交通运输数据依法开放共享、授权运营和交易流通，并建立分类分级、风险评估、重要数据目录、安全事件报告与监督检查等制度。
关于全面建立房屋建筑统一代码制度的通知
住房城乡建设部、国家数据局2026年6月18日联合印发《关于全面建立房屋建筑统一代码制度的通知》。通知落实数据基础制度建设要求，推动房屋建筑数据标准化治理与跨部门共享应用，明确按统一规则为房屋建筑赋予唯一代码，作为全生命周期管理的数据标识；要求各级住房城乡建设部门在规划许可、施工许可、竣工验收、房屋交易等环节归集应用统一代码，为城市全域数字化转型和公共数据资源开发利用提供基础支撑。
可能影响未成年人身心健康的网络信息分类办法
国家网信办等八部门联合印发，国信办通字〔2025〕5号，自2026年3月1日起施行。办法落实《未成年人网络保护条例》，将可能影响未成年人身心健康的网络信息分为四类：可能引发或诱导模仿不良行为、对价值观造成负面影响、不当使用未成年人形象、不当披露和使用未成年人个人信息。要求内容生产者与平台展示前显著提示、不在醒目位置呈现；提供算法推荐、生成式人工智能服务的不得向未成年人推送。
关于推动工业互联网高质量发展的实施意见
工信部、国家发展改革委等八部门2026年6月20日联合印发，工信部联信管〔2026〕152号。意见提出系统建设网络、标识、平台、数据、安全五大功能，完善政策、设施、技术、应用和生态五大体系。到2030年，建设5万张工业5G专网，打造5个左右具有国际影响力的综合型平台，初步构建较为完备的工业数据基础制度体系，融合应用实现207个工业中类全覆盖，重点行业规上工业企业安全分类分级普及率达80%。
安徽省政务数据资源管理办法（修订草案征求意见稿）
2026年9月22日由安徽省司法厅公布并公开征求意见，反馈截止10月21日，系对现行办法的修订。修订草案共八章，涵盖总则、开发建设、数据归集、数据共享、数据应用、监督管理、法律责任与附则。明确县级以上数据资源主管部门统筹协调、指导督促职责，政府部门负责本部门政务数据的目录编制、采集、归集、共享、开放及授权运营管理，建立统筹协调工作机制并将共享工作经费列入本级预算。
智能网联新能源汽车产业发展“十五五”规划
工业和信息化部会同国家发展改革委、公安部、交通运输部、商务部、自然资源部、住房和城乡建设部、市场监管总局、国家网信办等九部门2026年9月11日联合印发。规划提出到2030年全产业链优势进一步巩固，进入世界汽车强国行列，新能源乘用车、商用车新车销量占比分别达70%、40%，部分城市道路场景实现高度自动驾驶。围绕5方面部署17项重点任务，含“人工智能+汽车”发展行动等重点行动。
河南省教育厅等四部门关于推进中小学人工智能教育与应用的实施意见
河南省教育厅、科学技术厅、工业和信息化厅、科学技术协会联合印发。意见明确分阶段目标：2026年支持有条件的中小学校率先开设人工智能课程；2028年60%以上中小学校有效开展人工智能教育；2030年全省中小学校全面普及人工智能教育。课程按学段分层推进，义务教育阶段并入信息科技课程，普通高中并入信息技术必修课程，保障每学年不少于10课时。意见同时要求构建人工智能教育全链条安全防控体系。
湖南省教育厅关于加强中小学人工智能教育工作的通知
湖南省教育厅印发，对全省中小学人工智能教育作出系统部署。通知明确自2026年秋季学期起，全省中小学校普遍开展人工智能通识教育，每学年课时不少于8课时；到2027年课程体系基本建立，到2030年基本建成以学为中心、创新为导向的人工智能教育生态。通知要求研制课程指南、区分学段分层教学，并明确完善产品准入与数据安全管理制度，严格保护学生个人信息，将人工智能教育纳入教育督导考核。
人工智能生成合成内容标识办法
国家互联网信息办公室等四部门以国信办通字〔2025〕2号印发《人工智能生成合成内容标识办法》，2025年3月14日公布，自2025年9月1日起施行。办法将标识分为显式与隐式两类，针对文本、音频、图片、视频、虚拟场景规定添加位置与方式，并要求在文件元数据中嵌入服务提供者名称或编码、内容编号等要素信息。内容传播平台须核验隐式标识并添加提示，任何组织和个人不得恶意删除、篡改、伪造、隐匿标识。
内蒙古自治区促进词元经济高质量发展的若干措施
内蒙古自治区政务服务与数据管理局等六部门2026年8月12日印发《内蒙古自治区促进词元经济高质量发展的若干措施》，提出打造全国高质量词元供给地、词元出海枢纽和先行示范区。措施推出九方面18条举措：供给端建设智算中心与词元工厂，交易端建设自治区词元交易平台；安全治理方面推动词元工厂落实网络安全等级保护要求，督促模型企业完成生成式人工智能服务备案，建立跨境词元服务安全评估和风险防控机制。
江苏省网络数据安全管理办法（草案）（征求意见稿）
2026年9月23日由江苏省互联网信息办公室起草并公开征求意见，反馈截止10月23日。办法依据网络安全法、数据安全法、个人信息保护法、网络数据安全管理条例等制定，明确构建党委领导、政府主导、社会协同的网络数据综合治理体系，推进实施网络数据分类分级保护制度，保障重要数据安全，加强个人信息保护，支持数据安全技术、产品、服务创新与安全防护能力建设及人才培养，促进网络数据开发利用和产业发展。
云计算服务安全评估办法
由国家网信办等四部门2019年第2号公告发布、2019年9月1日起施行，旨在提高党政机关和关基运营者采购使用云计算服务的安全可控水平。建立四部门协调机制，重点评估云服务商征信经营状况、可接触客户数据人员背景与稳定性、供应链安全、数据可迁移性和业务连续性。结果有效期三年，届满前六个月申请复评，实控人变更须重新评估，主管部门通过抽查、举报持续监督并可撤销结论。
网络安全威胁信息发布管理办法（征求意见稿）
由国家网信办会同公安部等起草、2019年11月20日公开征求意见的规范性文件。要求发布网络安全威胁信息坚持客观、真实、审慎、负责原则，不得炒作牟利或从事不正当竞争。明确不得发布恶意程序源代码与制作方法、专用攻击工具、可完整复现攻击侵入过程的细节、数据泄露事件中泄露的数据内容本身，以及具体网络的拓扑结构、资产信息和风险评估报告。发布事件信息前应报告地市级以上公安机关，未经批准授权标题不得含预警字样。
镇海区“人工智能+政务”场景建设实施细则（试行）
2026年10月10日，宁波市数据局披露镇海区已印发《镇海区“人工智能+政务”场景建设实施细则（试行）》。细则要求场景建设与年度信息化项目同步申报，对照省“一本账”及市级共性场景清单复用省、市统建成果；实施算力和模型资源统筹调配，按“谁建设、谁治理”原则建设高质量知识库与数据集，明确人工智能输出仅作行政辅助参考、重要事项落实人工复核，防范模型“幻觉”与数据泄露风险。
金融业网络安全管理办法（征求意见稿）
针对金融业网络安全管理的专门办法（征求意见稿），明确金融机构网络安全管理的基本制度、组织架构、技术防护、监测预警、应急管理、监督检查等要求。与《网络安全法》《数据安全法》《个人信息保护法》等法律衔接，对金融业网络安全和数据安全管理提出更高行业标准。
工业和信息化领域数据安全合规指引
该指引面向工业和信息化领域数据处理者，旨在引导其合法合规开展数据处理活动并履行数据安全保护义务。文件依据数据安全法、网络安全法、个人信息保护法等法律法规，围绕数据分类分级、数据安全管理体系、数据全生命周期保护、风险监测预警与应急处置、数据安全风险评估、数据出境和数据交易等方面提供实务指引。
工业和信息化部关于加强车联网网络安全和数据安全工作的通知
要求车联网相关企业落实网络安全等级保护制度，加强车联网网络设施和系统安全防护，强化数据安全保护，建立网络安全监测预警和信息通报机制。对智能网联汽车生产企业、车联网服务平台运营企业等提出网络安全管理、数据分类分级、个人信息保护、安全评估、应急管理等具体要求，是车联网领域数据安全与个人信息保护的重要政策文件。
沈阳市公共数据授权运营管理办法（试行）
本办法适用于沈阳市公共数据授权运营活动，由市数据局授权运营单位统一建设公共数据授权运营平台，原则上不再新建独立运营渠道。平台应具备数据需求管理、分类分级、全流程溯源和安全保障能力，按网络安全等级保护三级及以上标准建设。运营单位负责数据管理、开发利用和安全保障。授权运营期一般不超过三年，期满需重新申请。市数据局会同财政局开展绩效评估。本办法自发布之日起三十日后施行。
宁夏回族自治区公共数据资源授权运营管理办法（试行）
本办法适用于宁夏回族自治区行政区域内公共数据资源授权运营活动。试行期间采取整体授权模式，运营机构按程序确定，数据开发商依场景申请开发利用。实施方案应明确数据资源范围、产品清单、收益分配、安全责任和退出机制。授权运营协议期限一般不超过三年。违反网络安全、数据安全、个人信息保护等规定的由相关部门依法处理。本办法自2025年11月1日起施行，有效期至2027年10月31日。
促进分布式数字身份互通互认应用规定（征求意见稿）
国家互联网信息办公室会同有关部门起草，2026年6月18日公开征求意见，反馈截止7月18日。规定分布式数字身份是基于区块链等分布式技术、支持用户自主管理身份信息的新型数字身份，由标识符、密钥、可验证凭证和可验证声明构成，可用于数字账户管理、登录认证、数据授权等场景；拟依托国家区块链网络建设分布式数字身份链，为个人、法人及设备等主体提供注册、核验、凭证签发与授权使用等公共服务。
欧盟《网络和信息系统安全指令》（NIS2 Directive）（英文）
欧洲议会和理事会2022年12月14日通过的网络和信息系统安全指令，取代2016/1148号指令，旨在消除成员国网络安全规则的差异，建立协调的监管框架，扩大适用范围至更多关键部门和重要实体，要求实体采取风险管理措施、报告重大事件，加强主管机构合作与执法，并规定统一的标准以提升欧盟整体网络安全水平和内部市场功能。
《网络弹性法案》（CRA，编号 (EU) 2024R2847）(英文版本)
欧盟网络弹性法案2024/2847针对具有数字元素的产品制定横向网络安全要求，适用于在欧盟市场投放的硬件和软件产品，要求制造商在产品设计、开发和全生命周期内落实网络安全，减少漏洞并及时提供安全更新，明确支持期限、漏洞处理、技术文档、合格评定、市场监管和CE标志要求，提升供应链和消费者层面的网络安全水平与透明度。
消费类网联摄像头网络安全标识实施规则（征求意见稿）
国家互联网信息办公室依据《网络安全标识管理办法》组织起草，2026年5月8日与配套标准《网络安全标识 消费类网联摄像头安全要求》同步公开征求意见，反馈截止5月23日。规则适用于消费者个人或组织购买使用的独立联网摄像头；网络安全能力由低到高设基础级、增强级、领先级三级，分别以一星、二星、三星表示，覆盖物理与硬件安全、数据与个人信息安全等五个单项，标识有效期三年。
其他
深圳经济特区人工智能产业促进条例
《深圳经济特区人工智能产业促进条例》经深圳市第七届人大常委会第十一次会议于2022年8月30日通过，自2022年11月1日起施行，是全国首部人工智能产业专项立法。条例共七章，首次以立法方式明确人工智能概念与产业边界，对国家和地方尚未制定标准的低风险人工智能产品和服务，允许通过测试、试验、试点等方式先行先试，并要求建立人工智能产业统计分类标准与公共数据共享目录，推动公共数据分类分级有序开放。
网络安全标准实践指南 - 移动互联网应用程序 (App) 个人信息保护常见问题及处置指南
针对移动互联网应用程序（App）个人信息保护中的常见问题编制处置指南，涵盖用户同意、最小必要、敏感信息处理、第三方SDK管理、隐私政策撰写等高频问题及合规解决方案，是App开发者开展个人信息保护合规整改的实用参考文件。
信息技术 - 安全技术 - 网络安全 第4部分：使用安全网关的网间通信安全保护
对应ISO/IEC 27033-4，规定使用安全网关实现网间通信安全保护的技术要求，包括安全网关的功能规范、安全策略配置、访问控制机制和安全审计要求，适用于不同安全等级网络之间的通信安全防护。
信息技术 - 安全技术 - 网络安全 第3部分：面向网络接入场景的威胁、设计技术和控制
对应ISO/IEC 27033-3，分析面向网络接入场景的安全威胁，给出相应的安全设计技术和控制措施。包括威胁建模、参考网络架构、安全技术选择和安全控制措施实施指南，适用于组织网络接入层的安全设计和评估。
信息安全技术 关键信息基础设施网络安全应急体系框架
建立关键信息基础设施网络安全应急体系框架，明确应急组织架构、应急响应流程、应急演练要求和应急联动机制。规定CII运营者应当制定网络安全应急预案、定期开展应急演练、建立应急技术支撑队伍，是落实《关键信息基础设施安全保护条例》的配套标准。
信息安全技术 信息安全控制
对应ISO/IEC 27002:2022，提供信息安全管理控制措施的参考指南。涵盖组织控制、人员控制、物理控制和技术控制四大类93项控制措施，是组织建立和实施信息安全管理体系（ISMS）的基础性参考标准。
网络安全标准实践指南—网络安全产品互联互通 资产信息格式
为网络安全产品之间互联互通的资产信息交换提供标准化格式，明确资产信息的要素、字段定义和交换协议，促进不同厂商网络安全产品的协同联动和信息共享，提升网络安全防护整体效能。
网络安全技术 关键信息基础设施边界确定方法 (征求意见稿)
规定关键信息基础设施边界确定的标准化方法（征求意见稿），明确CII边界识别的原则、流程和方法论。涵盖网络拓扑分析、业务依赖关系分析、安全影响评估等边界确定技术，帮助CII运营者科学合理地界定关键信息基础设施的范围和保护边界。
网络安全标准实践指南 —— 生成式人工智能服务安全应急响应指南（征求意见稿）
针对生成式人工智能服务，提供安全应急响应指南。明确AI安全事件的分类分级、监测预警机制、应急响应流程、技术处置措施和信息披露要求，帮助生成式AI服务提供者建立完善的安全应急响应机制。（征求意见稿）
网络安全标准实践指南 —— 一键停止收集车外数据指引
针对智能网联汽车车外数据收集场景，提供一键停止收集车外数据的实施指引。明确车辆应提供物理或虚拟按键功能，使用户可随时一键停止对外部环境数据的收集，落实"默认不收集""车内处理"等汽车数据安全原则。
网络安全技术 实体鉴别 第2部分：采用鉴别式加密的机制
规定采用鉴别式加密机制实现实体身份鉴别的技术方法，包括鉴别协议、密钥管理、消息格式和安全要求。适用于网络安全中需要验证通信实体身份的场景，是信息安全基础标准之一。
网络安全技术 消息鉴别码第2部分：采用专用杂凑函数的机制
规定采用专用杂凑函数实现消息鉴别码（MAC）的技术机制，包括算法规范、参数选择、密钥管理和安全强度要求。用于验证消息的完整性和来源真实性，是数据完整性保护的基础密码学标准。
网络安全技术 杂凑函数 第1部分：总则
规定密码学杂凑（哈希）函数的总体要求、安全准则和通用技术规范。明确杂凑函数的安全性要求（抗碰撞、抗原像、抗第二原像）和基本参数，为后续各部分专门杂凑函数标准提供统一框架。
网络安全技术 杂凑函数 第2部分：采用分组密码的杂凑函数
规定基于分组密码构造杂凑函数的技术方法，包括算法设计、填充规则、迭代结构和安全参数。适用于需要利用现有分组密码算法构建杂凑函数的应用场景。
网络安全技术 杂凑函数 第3部分：专门设计的杂凑函数
规定专门设计的杂凑函数算法标准（如SM3、SHA-2、SHA-3等），明确各算法的计算过程、输入输出格式和安全参数要求。适用于数字签名、消息认证、随机数生成等密码应用中需要标准化杂凑函数的场景。
网络安全技术 网络和终端隔离产品技术规范
规定网络和终端隔离产品的安全功能要求、性能要求和安全保障要求，涵盖安全隔离与信息交换产品、安全隔离卡、安全隔离计算机等各类网络隔离产品。适用于涉密网络与非涉密网络之间、不同安全域之间的安全隔离和数据交换控制。
网络安全技术 信息安全控制
参照ISO/IEC 27002，提供信息安全控制措施的全面指南，涵盖信息安全策略、信息安全组织、人力资源安全、资产管理、访问控制、密码学、物理安全、运行安全、通信安全、系统获取开发和维护、供应商关系、信息安全事件管理、业务连续性等14个控制域，是组织建立信息安全管理体系的基础标准。
网络安全技术 办公设备安全规范
规定办公设备（打印机、复印机、扫描仪、传真机、投影仪等）的信息安全技术要求，包括设备固件安全、数据存储安全、数据清除、网络通信安全、访问控制和安全管理等要求，防止办公设备成为信息泄露的薄弱环节。
网络安全技术 智能门锁网络安全技术规范
规定智能门锁产品的网络安全技术规范，包括远程通信安全、身份认证、访问控制、固件安全、数据加密存储、安全升级机制和隐私保护要求，防范智能门锁被非法远程开启或个人信息泄露等风险。
网络安全标准实践指南 —— 学术科技服务平台数据安全要求
针对学术科技服务平台的数据安全管理需求，明确数据安全责任、数据分类分级、用户个人信息保护、科研数据安全共享与开放、数据安全风险评估等具体要求，适用于高校及科研机构运营的学术科技服务平台。
网络安全标准实践指南 —— 互联网平台停服数据处理安全要求
为互联网平台停止运营时的数据处理提供安全要求指南，明确平台停服前应依法提前公告并通知用户，妥善处理用户个人信息（提供数据迁移或删除选项）、退出前的数据处理限制，防止停服过程中个人信息泄露和滥用。
网络安全技术 基于互联网电子政务信息安全实施指南 第1部分：总则
规定基于互联网的电子政务信息安全实施指南的总体框架和基本要求，为后续各部分（如身份认证、数据传输安全、数据共享安全等）提供统一的技术架构和指导原则。
信息技术 安全技术 网络安全 第6部分：无线网络访问安全（征求意见稿）
对应ISO/IEC 27033-6，规定无线网络访问安全的技术要求和控制措施，涵盖WLAN、蓝牙、ZigBee等常见无线通信技术的安全威胁、安全架构、认证机制、加密传输和入侵检测等要求。（征求意见稿）
网络安全技术 统一威胁管理产品 (UTM) 技术规范（征求意见稿）
规定统一威胁管理（UTM）产品的安全技术要求，包括防火墙、入侵检测防御、反病毒、反垃圾邮件、内容过滤和安全审计等功能的安全功能规范、性能指标和评测方法。（征求意见稿）
网络安全技术 公钥密码应用技术体系框架（征求意见稿）
建立公钥密码应用的技术体系框架，明确公钥基础设施（PKI）、身份认证、数字签名、密钥协商、数据加密等公钥密码应用的技术架构、安全策略和互操作要求。（征求意见稿）
网络安全技术 身份鉴别产品技术规范
规定身份鉴别产品的安全功能要求和技术规范，涵盖口令鉴别、生物特征鉴别、数字证书鉴别、多因素鉴别等各类身份鉴别技术，是确保用户身份真实性、防止未授权访问的安全基础标准。
网络安全技术 数据泄露防护产品技术规范（征求意见稿）
规定数据泄露防护（DLP）产品的安全功能要求和技术评测方法，包括网络DLP、终端DLP、存储DLP等类型产品的内容识别、策略控制、数据加密和安全审计功能，防止敏感数据通过邮件、即时通讯、移动存储等渠道泄露。（征求意见稿）
网络安全技术 终端接入控制产品技术规范（征求意见稿）
规定终端接入控制产品的安全功能要求，包括终端身份认证、健康检查、访问授权、安全隔离和动态策略控制等功能，确保只有符合安全策略的终端设备才能接入网络。（征求意见稿）
网络安全技术 负载均衡产品技术规范（征求意见稿）
规定负载均衡产品的安全技术规范，包括流量分发、健康检查、会话保持、SSL卸载和DDoS防护等安全功能要求，保障应用服务的高可用性和安全防护能力。（征求意见稿）
网络安全技术 网络型流量控制产品技术规范（征求意见稿）
规定网络型流量控制产品的技术规范，包括流量识别分类、带宽管理、流量整形、会话控制和统计分析等功能要求，确保网络带宽资源的合理分配和异常流量的有效管控。（征求意见稿）
网络安全技术 USB 移动存储介质管理系统技术规范（征求意见稿）
规定USB移动存储介质管理系统的安全技术要求，包括设备注册认证、数据加密存储、访问控制、使用审计和远程销毁等功能，防止通过USB移动存储设备造成数据泄露。（征求意见稿）
网络安全技术 信息过滤产品技术规范（征求意见稿）
规定信息过滤产品的技术规范，包括文本过滤、图像过滤、音视频过滤等内容识别和管控功能要求，适用于面向内容安全的网络信息过滤产品。（征求意见稿）
网络安全技术 电子文档安全管理产品技术规范（征求意见稿）
规定电子文档安全管理产品的技术规范，包括文档加密、权限控制、流转追踪、外发管控、水印保护和审计溯源等功能要求，防止电子文档被非授权访问和外泄。（征求意见稿）
网络安全技术 终端安全监测产品技术规范（征求意见稿）
规定终端安全监测产品的技术规范，包括终端行为监测、威胁检测、脆弱性扫描、安全基线检查和安全响应等功能要求，帮助组织及时发现和处置终端安全威胁。（征求意见稿）
网络安全技术 日志分析产品技术规范（征求意见稿）
规定日志分析产品的技术规范，包括日志采集、归一化、关联分析、安全事件识别、可视化展示和安全告警等功能要求，支持组织从海量日志中快速发现安全威胁和合规违规。（征求意见稿）
网络安全技术 安全配置检查产品技术规范（征求意见稿）
规定安全配置检查产品的技术规范，包括安全基线管理、配置合规检查、自动化扫描、基线修复建议和合规报告等功能要求，帮助组织确保IT资产的配置符合安全策略和合规要求。（征求意见稿）
网络安全技术 数据销毁软件产品技术规范（征求意见稿）
规定数据销毁软件产品的技术规范，包括数据覆写、加密擦除、物理销毁等数据清除方法的技术要求和效果验证标准，确保存储介质中的数据被不可恢复地彻底销毁，适用于数据生命周期末端的合规处置。（征求意见稿）
网络安全技术 抗拒绝服务攻击产品技术规范（征求意见稿）
规定抗拒绝服务攻击（Anti-DDoS）产品的技术规范，包括DDoS攻击检测、流量清洗、黑名单管理、畸形包过滤和溯源分析等功能要求，保障网络服务在遭受DDoS攻击时的可用性。（征求意见稿）
网络安全技术 网络身份认证公共服务 应用接入规范（征求意见稿）
为网络身份认证公共服务的应用接入提供标准化规范，明确接入架构、接口协议、凭证格式和安全要求，为各类互联网服务接入国家网络身份认证公共服务平台提供技术指引。（征求意见稿）
网络安全技术 公钥基础设施 证书管理协议（征求意见稿）
规定公钥基础设施中证书管理协议（CMP）的技术规范，包括证书申请、颁发、更新、撤销等管理操作的协议格式和安全机制，是实现PKI互操作的基础协议标准。（征求意见稿）
网络安全技术 公钥基础设施 PKI 组件最小互操作规范（征求意见稿）
规定公钥基础设施组件间的最小互操作规范，明确CA、RA、证书库等PKI组件之间的接口协议、数据格式和安全要求，确保不同厂商PKI产品的互操作性。（征求意见稿）
网络安全技术 公钥基础设施 时间戳规范（征求意见稿）
规定公钥基础设施中时间戳服务的技术规范，包括时间戳请求和响应的消息格式、时间戳令牌的结构、时间同步安全要求等，为电子数据的可信时间标识提供基于PKI的技术方案。（征求意见稿）
网络安全技术 网络空间安全图谱要素表示要求（征求意见稿）
规定网络空间安全图谱要素的表示要求，建立网络空间安全态势的可视化表达标准。明确网络资产、安全威胁、脆弱性、安全事件等要素的图形化表示方法和数据模型。（征求意见稿）
网络安全技术 网络安全试验平台 体系架构（征求意见稿）
规定网络安全试验平台的体系架构，包括平台组成、功能模块、接口规范和试验流程。为网络安全产品和安全技术的测试、验证和评估提供标准化的平台架构参考。（征求意见稿）
网络安全技术 安全技术 网络安全 第 7 部分：网络虚拟化安全（征求意见稿）
规定网络虚拟化环境的安全技术要求和控制措施，包括虚拟化平台安全、虚拟机隔离、虚拟网络安全、Hypervisor安全和虚拟化管理安全等方面，适用于云计算和数据中心环境中的网络虚拟化安全。（征求意见稿）
网络安全技术 标识密码认证系统密码及其相关安全技术要求（征求意见稿）
规定基于标识的密码认证系统的安全技术要求，包括IBE/IBC算法的参数生成、密钥管理、加解密操作规范和安全参数要求，保障标识密码认证系统的安全性和可靠性。（征求意见稿）
网络安全技术 关键信息基础设施安全保护能力指标体系（征求意见稿）
建立关键信息基础设施安全保护能力的量化指标体系，明确能力维度的定义、各级指标的测度和评价方法。涵盖识别认定、安全防护、监测预警、应急响应、恢复重建等全生命周期的安全能力，为CII安全保护能力的科学评估提供标准化工具。（征求意见稿）
网络安全技术 软件物料清单数据格式（征求意见稿）
规定软件物料清单（SBOM）的数据格式标准，明确SBOM应包含的组件信息、许可信息、依赖关系和安全漏洞映射等要素。支持供应链安全管理和软件成分透明度要求，是软件供应链安全合规的基础数据标准。（征求意见稿）
网络安全技术 网络安全运维实施指南（征求意见稿）
规定网络安全运维的实施要求，涵盖安全运维的组织管理、资产管理、监控检测、事件响应、变更管理、配置管理和安全评估等环节，帮助组织规范和提升网络安全运维水平。（征求意见稿）
信息安全技术 数字水印技术实现指南（征求意见稿）
规定数字水印技术的选择、实现和评估指南，涵盖数字水印的嵌入算法、提取算法、鲁棒性测试、安全强度评估等。适用于对数字内容进行版权保护和溯源追踪的应用场景。（征求意见稿）
网络安全技术 网络安全保险应用指南
为网络安全保险的应用提供指南，明确网络安全保险的基本概念、承保范围、风险评估方法、理赔流程和保费定价参考因素。帮助组织了解如何通过网络安全保险转移和缓释网络安全风险，是网络安全管理体系的重要补充。
网络安全标准实践指南 —— 人工智能生成合成内容标识 服务提供者编码规则
为人工智能生成合成内容的服务提供者编码规则，建立统一的编码体系用于标识AI生成合成内容的服务提供者身份。编码包含服务提供者的基本信息、技术类型和服务范围，是实现生成合成内容可追溯、可审计的技术基础。
网络安全标准实践指南 —— 移动互联网未成年人模式技术要求
针对移动互联网未成年人模式提出技术要求，包括内容过滤、时长管理、功能限制、消费管控、家长监护等功能要求，确保为未成年人提供健康安全的网络环境。落实《未成年人网络保护条例》的技术配套标准。
网络安全技术 运维安全管理产品技术规范
规定运维安全管理产品（堡垒机）的安全技术要求，包括单点登录、身份认证、权限控制、操作审计、会话管理和高危操作管控等功能规范，适用于对IT运维操作进行集中管理和安全审计的场景。
网络关键设备安全技术要求 可编程逻辑控制器（PLC）
规定可编程逻辑控制器（PLC）作为网络关键设备的安全技术要求，涵盖身份认证、访问控制、通信安全、固件安全、安全启动和安全日志等功能要求，适用于工业控制系统中PLC设备的安全评估和认证。
关于发布 2025 年度第一批网络安全国家标准需求的通知
国家网络安全标准化技术委员会发布的2025年度第一批网络安全国家标准需求清单，明确了年度重点标准制定方向，涵盖数据安全、个人信息保护、人工智能安全、关键信息基础设施安全、供应链安全等领域，为标准制定提供优先指导。
网络安全技术 网络安全事件管理 第 1 部分 原理和过程（征求意见稿）
对应ISO/IEC 27035-1，规定网络安全事件管理的基本原理和过程框架，包括事件管理策略、事件发现与报告、事件评估与决策、事件响应和事后总结改进等环节，为组织建立网络安全事件管理体系提供基础指南。（征求意见稿）
网络安全技术 网络安全事件管理 第 2 部分：事件响应规划和准备指南（征求意见稿）
对应ISO/IEC 27035-2，为网络安全事件响应提供规划和准备指南。包括事件响应团队的组建、职责分工、资源准备、应急演练和培训等，帮助组织在安全事件发生前做好充分准备。（征求意见稿）
网络安全技术 信息安全管理体系审核和认证机构要求（征求意见稿）
规定信息安全管理体系（ISMS）审核和认证机构的通用要求，包括审核机构的能力要求、审核流程、审核员资格和认证决定规范，确保ISMS认证活动的公正性和一致性。（征求意见稿）
网络安全标准实践指南 —— 摇一摇广告个人权益规范指引（征求意见稿）
针对移动互联网应用中"摇一摇"等传感器触发的广告推送行为，制定个人权益保护规范指引。要求在广告触发时必须显著标明来源和关闭方式，用户可拒绝基于传感器信息的广告推送，保障用户对个人信息的知情权和决定权。（征求意见稿）
网络安全技术 数字水印技术实现指南
规定数字水印技术的选择、实现和评估的正式指南（非征求意见稿），涵盖数字水印的嵌入与提取算法、鲁棒性测试、安全性评估和实施要点，适用于数字内容的版权保护、溯源追踪和内容认证等应用场景。
网络安全技术 信息安全管理体系 要求
对应ISO/IEC 27001:2022，规定信息安全管理体系的要求。明确组织在所处环境下建立、实施、维护和持续改进信息安全管理体系的要求，是ISMS认证的核心标准。包含组织环境、领导力、规划、支持、运行、绩效评价和改进七大管理要素。
网络安全技术 信息系统灾难恢复规范
规定信息系统灾难恢复的规范要求，建立灾难恢复的七级能力指标体系。涵盖数据备份、备用基础设施、备用网络、灾难恢复预案、演练维护和恢复时间/点目标（RTO/RPO）等要求，保障组织在灾难发生后的业务连续性。
互联网域名服务信息安全管理系统及接口测试方法
规定互联网域名服务信息安全管理系统的接口测试方法和测试用例，验证域名服务安全管理系统的功能和性能是否符合技术规范要求，保障域名解析服务的信息安全水平。
网络空间安全仿真 电力系统信息安全仿真平台接入技术要求
规定电力系统网络安全仿真平台接入的技术要求，涵盖仿真平台与真实系统之间的安全隔离、数据脱敏、接口安全、访问控制等技术要求，保障电力系统网络安全仿真和攻防演练的安全可控。
网络安全标准实践指南 —— 人工智能生成合成内容标识方法 文件元数据隐式标识文本文件
为人工智能生成合成内容的文件元数据隐式标识提供技术方法，针对文本文件类型。通过在文件元数据中嵌入不可见的数字标识信息，实现AI生成合成文本内容的溯源识别，支持内容审核和版权保护。（实践指南）
网络安全标准实践指南 —— 人工智能生成合成内容标识方法 文件元数据隐式标识图片文件
为人工智能生成合成内容的文件元数据隐式标识提供技术方法，针对图片文件类型。通过在图片文件元数据中嵌入数字水印和标识信息，实现AI生成合成图片内容的溯源识别。（实践指南）
网络安全标准实践指南 —— 人工智能生成合成内容标识方法 文件元数据隐式标识音频文件
为人工智能生成合成内容的文件元数据隐式标识提供技术方法，针对音频文件类型。通过在音频文件元数据中嵌入数字水印和标识信息，实现AI生成合成音频内容的溯源识别。（实践指南）
呼和浩特市网络虚假信息治理办法
呼和浩特市人大常委会2026年6月23日通过、自治区人大常委会7月29日批准，8月3日公布，9月1日起施行，共二十六条。办法禁止借社会热点蹭炒热度牟利及批量注册操纵账号传播虚假信息；要求利用人工智能生成合成的文本、图片、音视频等按规定添加生成合成内容标识，虚构演绎内容须显著标记；压实平台真实身份核验、内容审核、算法推荐主流价值导向与投诉举报义务，建立跨部门执法协作与失信联合惩戒机制。
